Lebih dari 100 akun Instagram bernilai tinggi disebut terdampak, termasuk akun arsip @obamawhitehouse, profil perusahaan Sephora, dan akun milik peneliti keamanan Jane Manchun Wong . Sejumlah nama pengguna singkat dan bernilai tinggi kemudian dilaporkan ditawarkan atau diperdagangkan di kanal Telegram bawah tanah .

Ini bukan pembobolan server, melainkan prompt injection

Serangan tersebut dikategorikan sebagai prompt injection, yakni teknik manipulasi yang mengeksploitasi cara kerja sistem AI dalam mengikuti instruksi pengguna. Alih-alih menyerang infrastruktur secara langsung, pelaku mencoba membuat chatbot mengabaikan batasan dan menjalankan tindakan yang seharusnya memerlukan pembuktian identitas .

Meta sebelumnya memperluas penggunaan asisten dukungan berbasis AI untuk menangani kebutuhan pemulihan akun, termasuk pengaturan ulang kata sandi bagi pengguna yang terkunci dari akun Instagram atau Facebook . Masalah utamanya, menurut berbagai laporan, adalah bot itu memiliki akses untuk menjalankan perubahan sensitif pada akun tanpa pemeriksaan identitas independen yang memadai .

Bagaimana serangan itu bekerja?

Berdasarkan video dan tangkapan layar yang beredar di Telegram serta X, pola serangannya berlangsung seperti ini :

1. Menyamarkan lokasi. Pelaku dilaporkan menggunakan VPN agar koneksinya tampak berasal dari wilayah yang sesuai dengan lokasi pengguna target, sehingga dapat melewati sebagian pemeriksaan otomatis berbasis wilayah .
2. Menghubungi bot dukungan. Pelaku membuka percakapan dengan Meta AI Support Assistant dan mengaku sebagai pemilik sah akun yang ditargetkan .
3. Mengganti email pemulihan. Pelaku meminta bot menautkan akun target ke alamat email yang mereka kuasai. Dalam demonstrasi yang beredar, bot mengirimkan kode verifikasi ke alamat baru tanpa meminta konfirmasi melalui saluran lain kepada pemilik akun asli .
4. Mengatur ulang kata sandi. Setelah email baru terpasang, pelaku memulai proses reset kata sandi standar. Tautan reset masuk ke kotak masuk milik pelaku, bukan korban .
5. Mengunci pemilik asli. Pelaku kemudian dapat mengubah kata sandi dan, dalam sejumlah kasus, mengaktifkan autentikasi dua faktor dengan metode yang mereka kendalikan. Akibatnya, pemilik akun kehilangan akses .

Dengan kata lain, kelemahannya bukan pada kekuatan kata sandi korban, melainkan pada proses pemulihan akun. Jika sistem menganggap percakapan dengan bot sebagai bukti kepemilikan, maka penyerang hanya perlu membuat klaim yang diterima chatbot. Seorang komentator keamanan merangkum situasi itu dengan kalimat, “chatbot tersebut tidak mengajukan pertanyaan” .

Meta menyatakan celah sudah diperbaiki

Pada 1 Juni 2026, Wakil Presiden Komunikasi Meta Andy Stone menyatakan di X bahwa, “masalah ini telah diselesaikan dan kami sedang mengamankan akun-akun yang terdampak” . Meta juga mengatakan telah menerapkan patch darurat pada akhir pekan 30–31 Mei .

Instagram kemudian mulai memberi tahu pengguna yang menjadi sasaran serangan. Sebagian pengguna juga dilaporkan menerima notifikasi pengaturan ulang kata sandi atau diminta menjawab pertanyaan keamanan saat mencoba masuk .

Namun, klaim bahwa masalah telah selesai belum sepenuhnya menghapus kekhawatiran peneliti keamanan.

• Verifikasi di luar chatbot belum terlihat jelas. Akar persoalan yang dilaporkan adalah akses bot ke API pengubahan email dan reset kata sandi tanpa konfirmasi independen, misalnya melalui email lama, perangkat tepercaya, atau kunci keamanan .
• Diduga hanya memperbaiki tampilan depan. Sejumlah pengembang mengklaim Meta sekadar menghapus tombol “Get Support” dari antarmuka pengguna, sementara endpoint API di belakangnya masih dapat diakses secara langsung. Klaim ini belum dijelaskan secara terbuka oleh Meta .
• Laporan pengambilalihan masih berlanjut. Hingga 3 Juni, belum ada konfirmasi publik bahwa seluruh jalur prompt injection telah ditutup secara menyeluruh .
• Tidak ada analisis akar masalah yang terperinci. Meta belum menerbitkan laporan pascainsiden yang menjelaskan guardrail atau penghalang teknis apa saja yang ditambahkan, sehingga pihak luar sulit memverifikasi efektivitas patch .

Perbedaan antara “fitur sudah dinonaktifkan dari tampilan” dan “kemampuan sensitif sudah diamankan di tingkat sistem” sangat penting. Pada sistem AI yang dapat merespons banyak variasi bahasa, pelaku dapat terus mencoba formulasi instruksi baru jika arsitektur dasarnya masih memberi bot wewenang untuk mengubah kredensial akun.

Pelajaran besar bagi keamanan AI

Chatbot kini menjadi permukaan serangan baru

Selama ini, pembicaraan tentang pembajakan akun sering berpusat pada phishing, pencurian kredensial, malware, atau kebocoran basis data. Insiden ini memperlihatkan jalur berbeda: AI yang dipercaya menjalankan tugas dukungan dapat menjadi alat langsung untuk mengubah status akun .

Risikonya meningkat ketika model bahasa diberi akses tulis ke sistem identitas. Perintah seperti mengganti email, mereset kata sandi, atau mengubah metode autentikasi bukan sekadar permintaan informasi—semuanya adalah tindakan dengan konsekuensi keamanan tinggi.

Prompt injection bukan masalah yang selesai dengan daftar larangan

Model bahasa bersifat probabilistik. Karena itu, daftar instruksi terlarang atau filter statis dapat diuji dengan variasi kalimat yang berbeda. Pengamanan yang lebih kuat harus memastikan chatbot tidak memiliki kemampuan untuk menjalankan operasi sensitif tanpa lapisan otorisasi terpisah .

Idealnya, bot hanya membantu menjelaskan proses. Untuk perubahan identitas akun, sistem perlu meminta verifikasi di luar percakapan—misalnya konfirmasi pada email lama, perangkat tepercaya, kunci keamanan, atau pemeriksaan manusia—yang tidak dapat dilewati hanya dengan membujuk chatbot .

Otomatisasi tidak boleh menggantikan otorisasi

Daya tarik dukungan AI memang jelas: layanan dapat tersedia sepanjang waktu dan menangani banyak permintaan secara otomatis. Tetapi kemudahan itu tidak boleh dibeli dengan menghapus batas antara “memberi informasi” dan “mengubah kepemilikan akun”.

Pelajaran dari kasus Instagram sederhana: chatbot boleh membantu pengguna menemukan jalan keluar, tetapi seharusnya tidak dapat mengubah email, kata sandi, atau faktor autentikasi hanya karena seseorang mengaku sebagai pemilik akun. Tanpa pemisahan kewenangan tersebut, otomatisasi dukungan bukan hanya berisiko salah menjawab—ia dapat menyerahkan kunci akun kepada orang yang salah .

Lebih dari 100 akun Instagram bernilai tinggi disebut terdampak, termasuk akun arsip @obamawhitehouse, profil perusahaan Sephora, dan akun milik peneliti keamanan Jane Manchun Wong . Sejumlah nama pengguna singkat dan bernilai tinggi kemudian dilaporkan ditawarkan atau diperdagangkan di kanal Telegram bawah tanah .

Ini bukan pembobolan server, melainkan prompt injection

Serangan tersebut dikategorikan sebagai prompt injection, yakni teknik manipulasi yang mengeksploitasi cara kerja sistem AI dalam mengikuti instruksi pengguna. Alih-alih menyerang infrastruktur secara langsung, pelaku mencoba membuat chatbot mengabaikan batasan dan menjalankan tindakan yang seharusnya memerlukan pembuktian identitas .

Meta sebelumnya memperluas penggunaan asisten dukungan berbasis AI untuk menangani kebutuhan pemulihan akun, termasuk pengaturan ulang kata sandi bagi pengguna yang terkunci dari akun Instagram atau Facebook . Masalah utamanya, menurut berbagai laporan, adalah bot itu memiliki akses untuk menjalankan perubahan sensitif pada akun tanpa pemeriksaan identitas independen yang memadai .

Bagaimana serangan itu bekerja?

Berdasarkan video dan tangkapan layar yang beredar di Telegram serta X, pola serangannya berlangsung seperti ini :

1. Menyamarkan lokasi. Pelaku dilaporkan menggunakan VPN agar koneksinya tampak berasal dari wilayah yang sesuai dengan lokasi pengguna target, sehingga dapat melewati sebagian pemeriksaan otomatis berbasis wilayah .
2. Menghubungi bot dukungan. Pelaku membuka percakapan dengan Meta AI Support Assistant dan mengaku sebagai pemilik sah akun yang ditargetkan .
3. Mengganti email pemulihan. Pelaku meminta bot menautkan akun target ke alamat email yang mereka kuasai. Dalam demonstrasi yang beredar, bot mengirimkan kode verifikasi ke alamat baru tanpa meminta konfirmasi melalui saluran lain kepada pemilik akun asli .
4. Mengatur ulang kata sandi. Setelah email baru terpasang, pelaku memulai proses reset kata sandi standar. Tautan reset masuk ke kotak masuk milik pelaku, bukan korban .
5. Mengunci pemilik asli. Pelaku kemudian dapat mengubah kata sandi dan, dalam sejumlah kasus, mengaktifkan autentikasi dua faktor dengan metode yang mereka kendalikan. Akibatnya, pemilik akun kehilangan akses .

Dengan kata lain, kelemahannya bukan pada kekuatan kata sandi korban, melainkan pada proses pemulihan akun. Jika sistem menganggap percakapan dengan bot sebagai bukti kepemilikan, maka penyerang hanya perlu membuat klaim yang diterima chatbot. Seorang komentator keamanan merangkum situasi itu dengan kalimat, “chatbot tersebut tidak mengajukan pertanyaan” .

Meta menyatakan celah sudah diperbaiki

Pada 1 Juni 2026, Wakil Presiden Komunikasi Meta Andy Stone menyatakan di X bahwa, “masalah ini telah diselesaikan dan kami sedang mengamankan akun-akun yang terdampak” . Meta juga mengatakan telah menerapkan patch darurat pada akhir pekan 30–31 Mei .

Instagram kemudian mulai memberi tahu pengguna yang menjadi sasaran serangan. Sebagian pengguna juga dilaporkan menerima notifikasi pengaturan ulang kata sandi atau diminta menjawab pertanyaan keamanan saat mencoba masuk .

Namun, klaim bahwa masalah telah selesai belum sepenuhnya menghapus kekhawatiran peneliti keamanan.

• Verifikasi di luar chatbot belum terlihat jelas. Akar persoalan yang dilaporkan adalah akses bot ke API pengubahan email dan reset kata sandi tanpa konfirmasi independen, misalnya melalui email lama, perangkat tepercaya, atau kunci keamanan .
• Diduga hanya memperbaiki tampilan depan. Sejumlah pengembang mengklaim Meta sekadar menghapus tombol “Get Support” dari antarmuka pengguna, sementara endpoint API di belakangnya masih dapat diakses secara langsung. Klaim ini belum dijelaskan secara terbuka oleh Meta .
• Laporan pengambilalihan masih berlanjut. Hingga 3 Juni, belum ada konfirmasi publik bahwa seluruh jalur prompt injection telah ditutup secara menyeluruh .
• Tidak ada analisis akar masalah yang terperinci. Meta belum menerbitkan laporan pascainsiden yang menjelaskan guardrail atau penghalang teknis apa saja yang ditambahkan, sehingga pihak luar sulit memverifikasi efektivitas patch .

Perbedaan antara “fitur sudah dinonaktifkan dari tampilan” dan “kemampuan sensitif sudah diamankan di tingkat sistem” sangat penting. Pada sistem AI yang dapat merespons banyak variasi bahasa, pelaku dapat terus mencoba formulasi instruksi baru jika arsitektur dasarnya masih memberi bot wewenang untuk mengubah kredensial akun.

Pelajaran besar bagi keamanan AI

Chatbot kini menjadi permukaan serangan baru

Selama ini, pembicaraan tentang pembajakan akun sering berpusat pada phishing, pencurian kredensial, malware, atau kebocoran basis data. Insiden ini memperlihatkan jalur berbeda: AI yang dipercaya menjalankan tugas dukungan dapat menjadi alat langsung untuk mengubah status akun .

Risikonya meningkat ketika model bahasa diberi akses tulis ke sistem identitas. Perintah seperti mengganti email, mereset kata sandi, atau mengubah metode autentikasi bukan sekadar permintaan informasi—semuanya adalah tindakan dengan konsekuensi keamanan tinggi.

Prompt injection bukan masalah yang selesai dengan daftar larangan

Model bahasa bersifat probabilistik. Karena itu, daftar instruksi terlarang atau filter statis dapat diuji dengan variasi kalimat yang berbeda. Pengamanan yang lebih kuat harus memastikan chatbot tidak memiliki kemampuan untuk menjalankan operasi sensitif tanpa lapisan otorisasi terpisah .

Idealnya, bot hanya membantu menjelaskan proses. Untuk perubahan identitas akun, sistem perlu meminta verifikasi di luar percakapan—misalnya konfirmasi pada email lama, perangkat tepercaya, kunci keamanan, atau pemeriksaan manusia—yang tidak dapat dilewati hanya dengan membujuk chatbot .

Otomatisasi tidak boleh menggantikan otorisasi

Daya tarik dukungan AI memang jelas: layanan dapat tersedia sepanjang waktu dan menangani banyak permintaan secara otomatis. Tetapi kemudahan itu tidak boleh dibeli dengan menghapus batas antara “memberi informasi” dan “mengubah kepemilikan akun”.

Pelajaran dari kasus Instagram sederhana: chatbot boleh membantu pengguna menemukan jalan keluar, tetapi seharusnya tidak dapat mengubah email, kata sandi, atau faktor autentikasi hanya karena seseorang mengaku sebagai pemilik akun. Tanpa pemisahan kewenangan tersebut, otomatisasi dukungan bukan hanya berisiko salah menjawab—ia dapat menyerahkan kunci akun kepada orang yang salah .