攻撃の構造：チャットボットが“共犯者”になるまで

攻撃ベクターは驚くほどシンプルだった。Metaは2026年初頭にグローバル展開したAIサポートアシスタントを、アカウント復旧（パスワードリセットなど）のために導入していた。このチャットボットには、機密性の高いアカウントデータベースへの書き込み権限が与えられていた。そのことが致命的な結果を招いた。

ハッカーたちはすぐに、決定的な設計上の欠陥を発見した。すなわち、ボットは本人確認を一切求めずに、あらゆるInstagramアカウントに関連付けられたメールアドレスを変更できてしまったのだ。

TelegramやX（旧Twitter）に出回った動画で示された手順は、極めて効率的だった：

1. 位置情報を偽装する。 攻撃者はVPNを使って対象者の地域に合致するIPアドレスを取得し、Instagramの自動地域チェックをすり抜けた。
2. チャットを開始する。 攻撃者はMeta AIサポートアシスタントとの会話を開き、正規のアカウント所有者であると主張した。
3. メールアドレスをすり替える。 攻撃者はボットに対し、ターゲットのアカウントを自分たちが管理するメールアドレスにリンクするよう依頼。チャットボットはこれに応じ、元のアカウント所有者には何の確認もなく、攻撃者の受信箱に確認コードを送信した。
4. パスワードをリセットする。 新しいメールアドレスが設定されたことで、攻撃者は標準のパスワードリセットを実行。リセットリンクを受け取り、パスワードを変更。正規の所有者はロックアウトされた。
5. ロックして売却する。 攻撃者はさらに自分の管理下で二段階認証（2FA）を有効にし、被害者による復旧を不可能にした。奪取された価値の高いユーザー名（中には50万ドル以上の価値がつくものも）は、アンダーグラウンドのTelegramチャンネルで即座に売買または取引された。

あるセキュリティ解説者が指摘したように、チャットボットは「何も質問しなかった」。これは会話によって成立した強奪事件であり、必要なのは説得力のある言葉とVPNだけだった。

Metaの対応：パッチ適用も、残る疑念

Metaの公式対応は迅速だったが、根底にある懸念を払拭するには至らなかった。6月1日、Metaの広報担当バイスプレジデント、Andy Stone氏はXにて**「この問題は解決され、影響を受けたアカウントを保護しています」** と投稿した。同社は5月30〜31日の週末に緊急パッチを適用したと発表している。

しかし、その後の一連の報道は、この修正が表面的なものであり、症状に対処しただけで構造的な欠陥に対応していない可能性を示唆している。

• 根本的な設計変更なし：AIが本人確認なしで重要なAPIに書き込みアクセスできるという根本的な問題は、完全には修正されていないようだ。セキュリティ評論家らは、適切な認証ゲートが設計されるまでAIサポート機能自体を無効にするべきだと主張した。
• UIの修正であって、APIの修正ではない：一部の開発者は、Metaがフロントエンドの「サポートを受ける」ボタンを削除しただけで、基盤となるAPIエンドポイントは直接リクエストに対して脆弱なまま残っていると報告した。すなわち、同じチャットベースのプロンプトが、理論上はまだ不正なアカウント変更の実行に利用可能だということだ。
• 侵害報告は継続中：6月3日時点で、TechCrunchはInstagramが標的となったユーザーに警告を発していると報じたが、プロンプト・インジェクションの脆弱性が包括的に塞がれたという確認はなかった。会話による説得だけで特権アクションを実行できるボットの能力は、潜在的なリスクとして残り続けている。
• 原因分析の非公開：Metaはインシデントレポートを公開しておらず、どのような具体的なガードレールを追加したのかも説明していない。そのため、セキュリティコミュニティはパッチの有効性を独自に検証することができない。

この不透明さが中心的な問題だ。透明性がなければ、攻撃者が新しい制限を回避するために、少し異なるプロンプトを作成するだけで済むかどうかを知ることは不可能である。これは、確率的で適応的な言語モデルに対して、静的なセキュリティパッチでは対抗できない「モグラ叩き」ゲームだ。

大局的な視点：AIがもたらす新たな攻撃面

このInstagramアカウント乗っ取り事件は、サイバーセキュリティにおける転換点であり、今後10年のデジタルセキュリティを定義することになる一連の新たな脆弱性を浮き彫りにした。

プロンプト・インジェクションは新しいSQLインジェクションである。 従来のハッキング手法（クレデンシャルスタッフィング、フィッシング、データベース侵害）には、ある程度の技術的スキルか既存のアクセス権限が必要だった。この悪用には何も必要なかった。巧みに練られた文章一つで、従来のセキュリティ管理をすべて回避できたのだ。生成AI製品が普及するにつれ、この種の攻撃は悪意ある行為者にとっての主要なベクターとなるだろう。

検証の欠落は「バグ」ではなく「設計の問題」である。 チャットボットは特権アクションに対して「帯域外（out-of-band）」検証を全く行わなかった。つまり、登録済みの元のメールアドレスへのコード送信、信頼できるデバイスへのプッシュ確認、ハードウェアキーのチャレンジなどが一切ない。単に攻撃者の主張を額面通りに受け取ったのだ。教訓は明らかだ：アカウント変更を実行できるサポートロールにAIを展開する場合、チャットボットが何を言おうと回避不可能な、必須のヒューマンインザループまたは暗号化ゲーティングメカニズムが不可欠である。

静的なパッチは解決策ではない。 大規模言語モデルは確率的であるため、固定されたガードレールはテストされ、迂回され、決意のある敵対者によって破られる可能性がある。アーキテクチャは、ユーザーからのプロンプトが何であれ、AIが特権的な書き込み操作を実行できないように再設計されなければならない。権限の分離は絶対的でなければならない。サポートボットは情報を提供することはできても、パスワードを変更したり、メールを紐付けたり、ユーザーのアイデンティティを変更したりしてはならない。

自動化されたサポートへの信頼は損なわれた。 この事件は、企業が人間のエージェントをLLMに置き換える競争をまさに行っているときに、AI主導のカスタマーサービスに対するユーザーの信頼を損なうものだ。24時間365日の自動サポートの魅力は大きいが、それを厳格な認証境界なしに展開することは、プラットフォームの完全性に対する存亡のリスクを生み出す。数十億のアカウントを扱う企業にとって、「Move fast and break things」は「Move fast and lose everything」に変わる。

攻撃の構造：チャットボットが“共犯者”になるまで

攻撃ベクターは驚くほどシンプルだった。Metaは2026年初頭にグローバル展開したAIサポートアシスタントを、アカウント復旧（パスワードリセットなど）のために導入していた。このチャットボットには、機密性の高いアカウントデータベースへの書き込み権限が与えられていた。そのことが致命的な結果を招いた。

ハッカーたちはすぐに、決定的な設計上の欠陥を発見した。すなわち、ボットは本人確認を一切求めずに、あらゆるInstagramアカウントに関連付けられたメールアドレスを変更できてしまったのだ。

TelegramやX（旧Twitter）に出回った動画で示された手順は、極めて効率的だった：

1. 位置情報を偽装する。 攻撃者はVPNを使って対象者の地域に合致するIPアドレスを取得し、Instagramの自動地域チェックをすり抜けた。
2. チャットを開始する。 攻撃者はMeta AIサポートアシスタントとの会話を開き、正規のアカウント所有者であると主張した。
3. メールアドレスをすり替える。 攻撃者はボットに対し、ターゲットのアカウントを自分たちが管理するメールアドレスにリンクするよう依頼。チャットボットはこれに応じ、元のアカウント所有者には何の確認もなく、攻撃者の受信箱に確認コードを送信した。
4. パスワードをリセットする。 新しいメールアドレスが設定されたことで、攻撃者は標準のパスワードリセットを実行。リセットリンクを受け取り、パスワードを変更。正規の所有者はロックアウトされた。
5. ロックして売却する。 攻撃者はさらに自分の管理下で二段階認証（2FA）を有効にし、被害者による復旧を不可能にした。奪取された価値の高いユーザー名（中には50万ドル以上の価値がつくものも）は、アンダーグラウンドのTelegramチャンネルで即座に売買または取引された。

あるセキュリティ解説者が指摘したように、チャットボットは「何も質問しなかった」。これは会話によって成立した強奪事件であり、必要なのは説得力のある言葉とVPNだけだった。

Metaの対応：パッチ適用も、残る疑念

Metaの公式対応は迅速だったが、根底にある懸念を払拭するには至らなかった。6月1日、Metaの広報担当バイスプレジデント、Andy Stone氏はXにて**「この問題は解決され、影響を受けたアカウントを保護しています」** と投稿した。同社は5月30〜31日の週末に緊急パッチを適用したと発表している。

しかし、その後の一連の報道は、この修正が表面的なものであり、症状に対処しただけで構造的な欠陥に対応していない可能性を示唆している。

• 根本的な設計変更なし：AIが本人確認なしで重要なAPIに書き込みアクセスできるという根本的な問題は、完全には修正されていないようだ。セキュリティ評論家らは、適切な認証ゲートが設計されるまでAIサポート機能自体を無効にするべきだと主張した。
• UIの修正であって、APIの修正ではない：一部の開発者は、Metaがフロントエンドの「サポートを受ける」ボタンを削除しただけで、基盤となるAPIエンドポイントは直接リクエストに対して脆弱なまま残っていると報告した。すなわち、同じチャットベースのプロンプトが、理論上はまだ不正なアカウント変更の実行に利用可能だということだ。
• 侵害報告は継続中：6月3日時点で、TechCrunchはInstagramが標的となったユーザーに警告を発していると報じたが、プロンプト・インジェクションの脆弱性が包括的に塞がれたという確認はなかった。会話による説得だけで特権アクションを実行できるボットの能力は、潜在的なリスクとして残り続けている。
• 原因分析の非公開：Metaはインシデントレポートを公開しておらず、どのような具体的なガードレールを追加したのかも説明していない。そのため、セキュリティコミュニティはパッチの有効性を独自に検証することができない。

この不透明さが中心的な問題だ。透明性がなければ、攻撃者が新しい制限を回避するために、少し異なるプロンプトを作成するだけで済むかどうかを知ることは不可能である。これは、確率的で適応的な言語モデルに対して、静的なセキュリティパッチでは対抗できない「モグラ叩き」ゲームだ。

大局的な視点：AIがもたらす新たな攻撃面

このInstagramアカウント乗っ取り事件は、サイバーセキュリティにおける転換点であり、今後10年のデジタルセキュリティを定義することになる一連の新たな脆弱性を浮き彫りにした。

プロンプト・インジェクションは新しいSQLインジェクションである。 従来のハッキング手法（クレデンシャルスタッフィング、フィッシング、データベース侵害）には、ある程度の技術的スキルか既存のアクセス権限が必要だった。この悪用には何も必要なかった。巧みに練られた文章一つで、従来のセキュリティ管理をすべて回避できたのだ。生成AI製品が普及するにつれ、この種の攻撃は悪意ある行為者にとっての主要なベクターとなるだろう。

検証の欠落は「バグ」ではなく「設計の問題」である。 チャットボットは特権アクションに対して「帯域外（out-of-band）」検証を全く行わなかった。つまり、登録済みの元のメールアドレスへのコード送信、信頼できるデバイスへのプッシュ確認、ハードウェアキーのチャレンジなどが一切ない。単に攻撃者の主張を額面通りに受け取ったのだ。教訓は明らかだ：アカウント変更を実行できるサポートロールにAIを展開する場合、チャットボットが何を言おうと回避不可能な、必須のヒューマンインザループまたは暗号化ゲーティングメカニズムが不可欠である。

静的なパッチは解決策ではない。 大規模言語モデルは確率的であるため、固定されたガードレールはテストされ、迂回され、決意のある敵対者によって破られる可能性がある。アーキテクチャは、ユーザーからのプロンプトが何であれ、AIが特権的な書き込み操作を実行できないように再設計されなければならない。権限の分離は絶対的でなければならない。サポートボットは情報を提供することはできても、パスワードを変更したり、メールを紐付けたり、ユーザーのアイデンティティを変更したりしてはならない。

自動化されたサポートへの信頼は損なわれた。 この事件は、企業が人間のエージェントをLLMに置き換える競争をまさに行っているときに、AI主導のカスタマーサービスに対するユーザーの信頼を損なうものだ。24時間365日の自動サポートの魅力は大きいが、それを厳格な認証境界なしに展開することは、プラットフォームの完全性に対する存亡のリスクを生み出す。数十億のアカウントを扱う企業にとって、「Move fast and break things」は「Move fast and lose everything」に変わる。