Falha em IA da Meta expõe mais de 20 mil contas do Instagram
Mais de 20 mil contas do Instagram foram comprometidas devido a uma falha de segurança no sistema de recuperação de contas assistido por inteligência artificial (IA) da Meta, conhecido como High Touch Support (HTS). O incidente, que permitiu que hackers redefinissem senhas e assumissem o controle de perfis, ocorreu entre abril e maio de 2026 e foi oficialmente divulgado pela Meta em junho.
A vulnerabilidade foi explorada por criminosos cibernéticos para ter acesso a dados sensíveis, incluindo informações de contato, mensagens diretas e histórico de atividades, especialmente em contas que não possuíam a autenticação de dois fatores (2FA) ativada.
Como a Falha da IA Permitou o Ataque
O sistema HTS da Meta foi projetado para auxiliar usuários a recuperar o acesso a suas contas. No entanto, um bug crítico permitiu que os invasores contornassem os protocolos de segurança.
- Exploração da Ferramenta: Hackers usaram VPNs para simular a localização geográfica dos alvos.
- Redefinição de Senha Enganosa: Ao interagir com o chatbot de IA, os criminosos solicitavam um link de redefinição de senha para o Instagram. A falha permitia que o link fosse enviado para um endereço de e-mail controlado pelos hackers, mesmo que este não estivesse associado à conta original.
- Assunção de Controle: Com o link de redefinição em mãos, os invasores conseguiam alterar a senha e, consequentemente, assumir o controle total do perfil.
A Meta confirmou que o problema residia em um “caminho de código separado” que não verificava adequadamente se o e-mail fornecido para o reset de senha correspondia ao e-mail registrado na conta do Instagram.
Veja também:
Impacto e Contas Afetadas
A Meta informou que 20.225 contas foram potencialmente afetadas, conforme comunicado ao Gabinete do Procurador-Geral do Maine, nos Estados Unidos. O ataque visou tanto usuários comuns quanto perfis de alto perfil, incluindo a antiga conta da Casa Branca do ex-presidente Barack Obama, a varejista de cosméticos Sephora e um sargento-chefe da Força Espacial dos EUA.
As informações que puderam ser acessadas pelos hackers incluíam dados de contato (e-mails e telefones), datas de nascimento, fotos, vídeos, stories, mensagens diretas, atividades da conta e informações de serviços vinculados.
Resposta da Meta e Recomendações de Segurança
A Meta identificou a vulnerabilidade em 31 de maio de 2026 e agiu rapidamente para desabilitar a ferramenta HTS, invalidar os links de redefinição de senha gerados pela exploração e implementar um “checkpoint de segurança” obrigatório para as contas potencialmente afetadas. A empresa está notificando os usuários comprometidos e exigindo que redefinam suas senhas.
Em nota, Andy Stone, vice-presidente de comunicações da Meta, afirmou que a falha foi resolvida. A Agência Nacional de Proteção de Dados (ANPD) no Brasil também recebeu o comunicado de incidente de segurança da Meta e está analisando as informações para verificar as providências necessárias, com 188 usuários brasileiros afetados.
Desdobramentos e Prevenção
Este incidente ressalta os riscos da crescente dependência de sistemas de IA para funções críticas de segurança, especialmente quando não há um caminho claro para intervenção humana em casos de anomalia.
Para aumentar a segurança, a Meta e especialistas em cibersegurança recomendam fortemente que todos os usuários do Instagram:
- Ativem a autenticação de dois fatores (2FA): Esta camada adicional de segurança dificulta o acesso não autorizado, mesmo que a senha seja comprometida.
- Monitorem atividades suspeitas: Fiquem atentos a e-mails ou notificações incomuns sobre suas contas.
- Usem senhas fortes e únicas: Evitem reutilizar senhas em diferentes plataformas.
A empresa continuará a monitorar seus sistemas de IA para evitar incidentes semelhantes no futuro.