Metode serangannya sangat sederhana. Eksploitasi ini pertama kali didokumentasikan dalam video yang beredar di Telegram pada 31 Mei 2026, dan hanya melibatkan percakapan obrolan dengan asisten dukungan AI milik Meta sendiri . Begini cara kerjanya:
Rantai serangan ini berhasil pada akun mana pun yang tidak mengaktifkan autentikasi dua faktor (2FA). Para penyerang yang awalnya membagikan video eksploitasi secara eksplisit mengonfirmasi bahwa metode mereka gagal terhadap akun dengan bentuk MFA apa pun yang diaktifkan .
Skala dan profil para korban menggarisbawahi betapa menguntungkannya pencurian akun Instagram. Dari 20.225 akun yang dibajak, target yang paling terlihat meliputi:
@hey dan @korn—menjadi target sistematis karena harganya yang mencapai ribuan hingga ratusan ribu dolar di forum bawah tanah Peneliti memperkirakan nilai kolektif akun premium curian yang terdaftar untuk dijual di Telegram melebihi $1 juta, meskipun Meta belum mengonfirmasi angka ini . Beberapa akun yang dibajak sempat dirusak dengan citra pro-Iran sebelum akhirnya dikunci, menambah dimensi geopolitik pada insiden ini
.
Jendela kerentanan terbentang setidaknya dari 17 April hingga 31 Mei 2026—lebih dari enam minggu eksploitasi aktif sebelum tim keamanan Meta mengidentifikasi dan menambal celah tersebut .
Kronologi respons Meta berlangsung cepat setelah eksploitasi itu diketahui publik, meskipun dinodai oleh kebingungan awal:
Penting untuk membedakan insiden ini dari kerentanan terpisah namun bersamaan yang ditemukan pada 8 Juni 2026, di mana celah dalam alur reset kata sandi berbasis web Instagram mengekspos alamat email dan nomor telepon yang tidak disamarkan dari setiap pengguna Instagram . Bug itu tidak terkait dengan celah logika chatbot AI, tetapi keduanya muncul di siklus berita yang sama, menciptakan kebingungan awal tentang ruang lingkup masing-masing masalah.
Jika ada satu pelajaran yang bisa ditindaklanjuti dari pelanggaran ini, itu adalah kekuatan menentukan dari autentikasi multi-faktor. Bahkan bentuk terlemahnya—kode sekali pakai berbasis SMS—berfungsi sebagai penghenti paksa. Para penyerang sendiri yang menyebarkan informasi ini, memperingatkan bahwa teknik mereka hanya berfungsi pada akun tanpa bentuk MFA apa pun yang diaktifkan . Eksploitasi reset kata sandi memungkinkan login murni dengan kata sandi; ketika faktor kedua diperlukan, penyerang dikunci
.
Bagi siapa pun yang memegang akun Instagram bernilai tinggi—sebuah merek, figur publik, atau pemilik nama pengguna pendek—mengaktifkan MFA, idealnya dengan kunci keamanan perangkat keras atau passkey, tetap menjadi langkah keamanan paling efektif melawan kelas serangan ini.
Insiden High Touch Support adalah kisah peringatan untuk penerapan cepat agen AI otonom dalam alur kerja yang berhadapan dengan pelanggan. AI itu mampu, ia mengikuti instruksi, dan terhubung ke sistem back-end yang kuat. Tetapi ia diterapkan tanpa autentikasi out-of-band deterministik untuk tindakan sensitif—sebuah persyaratan keamanan mendasar yang rutin diikuti oleh agen manusia. Saat organisasi berlomba untuk mengintegrasikan asisten dukungan AI di seluruh sistem pembayaran, manajemen akun, dan akses data sensitif, kasus Meta ini menjadi pengingat bahwa akses tanpa verifikasi bukanlah otomatisasi; itu adalah pintu terbuka.
Catatan koreksi: Versi sebelumnya dari artikel ini menyatakan penyerang melewati 2FA. Eksploitasi ini hanya berhasil pada akun tanpa MFA yang diaktifkan; reset kata sandi memberi penyerang kata sandi baru, tetapi faktor kedua yang aktif memblokir login .
Comments
0 comments