Meta впервые раскрыла точные данные о взломах, связанных с ИИ-чат-ботом поддержки Instagram. По уведомлению о нарушении безопасности, были затронуты как минимум 20 225 аккаунтов, включая 30 аккаунтов в штате Мэн.
Компания направила уведомление в офис генерального прокурора штата Мэн. В документе говорится, что злоумышленники использовали уязвимость в инструменте восстановления аккаунта High Touch Support, который работает на базе ИИ и помогает пользователям вернуть доступ к профилю.
Проблема возникла из-за ошибки в отдельной части кода. Система отправляла ссылки для сброса пароля на любой email-адрес и не проверяла, связан ли он с нужным аккаунтом Instagram.
По данным Meta, атаки начались примерно 17 апреля 2026 года и оставались незамеченными до 31 мая. Хакеры использовали уже известный дефект в системе High Touch Support и получали ссылки для смены пароля без проверки адреса электронной почты.
Meta уточняет, что показатель в 20 225 аккаунтов — это верхняя граница оценки, поскольку часть попыток входа могла принадлежать законным владельцам профилей. Потенциально доступными могли быть контактные данные, даты рождения, публикации, личные сообщения, история активности, сведения профиля и подключённые сервисы. Какие именно данные были просмотрены, компания не знает.
Сразу после обнаружения проблемы Meta отключила ИИ-чат-бота, убрала ошибочный участок кода и аннулировала все ссылки для сброса пароля, созданные через эту систему. Затронутые пользователи были переведены на обязательную проверку безопасности и получили требование сменить пароль через подтверждённые каналы.
Перед повторным запуском сервиса компания собирается добавить проверку email на этапе восстановления доступа и проверить похожие механизмы на других своих платформах. Инцидент произошёл в период, когда Meta сокращает тысячи сотрудников и при этом активно инвестирует в ИИ. Ранее компания продвигала этот чат-бот как инструмент для повышения безопасности аккаунтов.
О уведомлении первой сообщила Thisweekinsecurity.
Источник: уведомление Meta в офис генерального прокурора штата Мэн, Thisweekinsecurity.
*Организация Meta (владелец Facebook и Instagram) признана экстремистской организацией и ее деятельность запрещена на территории России.
