Come un chatbot AI "Confused Deputy" ha regalato 20.000 account Instagram

La causa principale era un bug logico in un "percorso di codice separato" di HTS. Secondo Amber Hannah, Vice Consigliere Generale di Meta, lo strumento "funzionava correttamente e come previsto" per i suoi compiti principali, ma durante i reset della password, il sistema non verificava che l'indirizzo email fornito dal richiedente corrispondesse a quello registrato sull'account Instagram. Inviava il link di reset a qualsiasi indirizzo fornito .

Gli esperti di sicurezza hanno subito riconosciuto un classico problema di "confused deputy" (letteralmente "delegato confuso"): l'agente AI era autorizzato a eseguire operazioni sensibili sugli account tramite API di back-end, ma mancava della logica fondamentale per confermare l'identità dell'individuo che impartiva il comando . Come ha sintetizzato un'analisi, all'AI è stato "dato il permesso di apportare modifiche all'account senza che le fosse insegnato come confermare l'identità del richiedente" .

L'Attacco: Un Furto d'Account in 6 Passi

Il metodo di attacco era brutalmente semplice. L'exploit è stato documentato per la prima volta in un video diffuso su Telegram il 31 maggio 2026, e consisteva in nient'altro che una conversazione in chat con l'assistente AI di Meta . Ecco come funzionava:

1. Ricerca dell'obiettivo: Gli aggressori raccoglievano la posizione geografica generale del bersaglio, spesso da post pubblici sui social media.
2. Mascheramento della posizione: Si connettevano tramite una VPN con un indirizzo IP geolocalizzato vicino alla zona nota del bersaglio per evitare di attivare gli allarmi di sicurezza automatici di Instagram .
3. Avvio del flusso: L'aggressore apriva la pagina di reset della password di Instagram e selezionava l'opzione per chattare con l'assistente AI di Meta.
4. La richiesta: L'aggressore diceva semplicemente al bot: "Collega questo account al mio indirizzo email".
5. Obbedienza del bot: L'AI, priva di una fase di verifica dell'identità, inviava un codice monouso per la reimpostazione della password all'indirizzo email controllato dall'aggressore .
6. Completamento del dirottamento: L'aggressore inseriva il codice, reimpostava la password e bloccava il legittimo proprietario fuori dall'account .

Questa catena di attacco aveva successo su qualsiasi account in cui non fosse stata abilitata l'autenticazione a due fattori (2FA). Gli stessi aggressori che hanno diffuso il video dell'exploit hanno esplicitamente confermato che il loro metodo falliva contro gli account con qualsiasi forma di MFA attiva .

Le Conseguenze: Nickname "OG" di Valore, Marchi e Account Governativi

La portata e il profilo delle vittime hanno sottolineato quanto sia diventato lucrativo il furto di account Instagram. Dei 20.225 account dirottati, gli obiettivi più visibili includevano:

• @obamawhitehouse: L'account Instagram inattivo dell'amministrazione Obama .
• Sephora: L'account ufficiale del gigante globale della bellezza .
• John Bentivegna: L'account Instagram del Capo Sergente Maggiore della Space Force statunitense .
• Nickname "OG" rari: Nomi utente brevi e molto ambiti, come quelli a carattere singolo o particolarmente desiderabili—inclusi account come @hey e @korn—sono stati presi di mira sistematicamente perché sul mercato nero hanno prezzi di rivendita che vanno da migliaia a centinaia di migliaia di dollari .

I ricercatori hanno stimato che il valore collettivo degli account premium rubati e messi in vendita su Telegram superasse il milione di dollari, sebbene Meta non abbia confermato questa cifra . Diversi account dirottati sono stati brevemente deturpati con immagini filo-iraniane prima di essere bloccati, aggiungendo una sfumatura geopolitica all'incidente .

La finestra di vulnerabilità si è estesa almeno dal 17 aprile al 31 maggio 2026—oltre sei settimane di sfruttamento attivo prima che il team di sicurezza di Meta individuasse e correggesse la falla .

La Risposta di Meta: Una Patch d'Emergenza e una Correzione Incompleta

La tempistica di risposta di Meta è stata rapida una volta che l'exploit è diventato pubblico, anche se è stata segnata da una confusione iniziale:

• 31 maggio 2026: Meta ha identificato la vulnerabilità e distribuito una patch d'emergenza lo stesso giorno .
• Azioni immediate: L'azienda ha disabilitato lo strumento HTS vulnerabile, invalidato tutti i link di reimpostazione della password generati attraverso il flusso di lavoro difettoso e costretto gli account interessati a superare controlli di sicurezza obbligatori che richiedevano il reset della password .
• Inciampo nella comunicazione: Il 1° giugno, il portavoce di Meta Andy Stone ha dichiarato pubblicamente che il problema era "già stato risolto". Tuttavia, altre vittime—inclusi ricercatori di sicurezza—hanno segnalato che i loro account erano stati violati fino al 2 giugno, suggerendo che la patch iniziale fosse incompleta o che gli aggressori stessero usando una variante strettamente correlata .
• Notifica formale della violazione: Meta ha presentato una notifica di violazione dei dati all'ufficio del Procuratore Generale del Maine, confermando il conteggio finale di 20.225 utenti interessati a livello nazionale .
• Rimedio promesso: Meta si è impegnata a correggere la logica di verifica dell'email prima di rilanciare HTS e ha avviato una revisione completa di flussi di lavoro simili per il recupero degli account su tutte le sue piattaforme .

È importante distinguere questo incidente da una vulnerabilità separata ma concomitante, scoperta l'8 giugno 2026, in cui una falla nel flusso di reset della password via web di Instagram esponeva gli indirizzi email e i numeri di telefono non mascherati di ogni utente Instagram . Quel bug non era correlato alla falla logica del chatbot AI, ma entrambi sono emersi nello stesso ciclo di notizie, creando una confusione iniziale sulla portata di ciascun problema.

La Difesa che Ha Bloccato Ogni Attacco: l'Autenticazione a Due Fattori (MFA)

Se c'è una singola lezione pratica da questa violazione, è il potere decisivo dell'autenticazione a più fattori. Anche la forma più debole—i codici monouso via SMS—ha funzionato come un muro invalicabile. Gli stessi aggressori hanno diffuso questa informazione, avvertendo che la loro tecnica funzionava solo su account senza alcuna forma di MFA attivata . L'exploit di reset della password permetteva l'accesso solo con una password; quando era richiesto un secondo fattore, gli aggressori venivano bloccati .

Per chiunque possieda un account Instagram di alto valore—un marchio, un personaggio pubblico o il proprietario di un nome utente breve—abilitare l'MFA, idealmente con una chiave di sicurezza hardware o una passkey, rimane la misura di sicurezza più efficace contro questo tipo di attacchi.

Il Quadro Generale: l'AI come Servizio, l'AI come Rischio

L'incidente dell'High Touch Support è un racconto ammonitore per la rapida implementazione di agenti AI autonomi nei flussi di lavoro a contatto con i clienti. L'AI era capace, seguiva le istruzioni ed era connessa a potenti sistemi di back-end. Ma è stata distribuita senza un'autenticazione deterministica fuori banda per le azioni sensibili—un requisito di sicurezza fondamentale che gli operatori umani seguono come routine. Mentre le organizzazioni si affrettano a integrare assistenti AI nei sistemi di pagamento, nella gestione degli account e nell'accesso ai dati sensibili, il caso Meta serve a ricordare che l'accesso senza verifica non è automazione; è una porta aperta.

Domande Aperte

• Meta ha riattivato lo strumento High Touch Support con le promesse correzioni di verifica dell'identità e, in tal caso, quali modifiche architetturali specifiche sono state apportate?
• Quanti dei 20.225 account dirottati sono stati effettivamente restituiti ai loro legittimi proprietari?
• La revisione più ampia di Meta ha scoperto vulnerabilità di verifica simili nei flussi di recupero di Facebook o WhatsApp?
• L'account della Space Force statunitense è stata l'unica compromissione legata al governo, o altri account sensibili sono stati colpiti ma non divulgati pubblicamente?

Nota di correzione: una versione precedente di questo articolo affermava che gli aggressori avevano aggirato la 2FA. L'exploit funzionava solo contro account senza MFA abilitata; il reset della password dava agli aggressori una nuova password, ma qualsiasi secondo fattore attivo bloccava l'accesso .