セキュリティ研究者たちはこれを、古典的な**「混乱した代理人（confused deputy）問題」**だと即座に看破した。このAIエージェントは、バックエンドのAPIを通じてアカウントに関する重要な操作を実行する権限を与えられていたが、コマンドを下す個人の身元を確認するという基本的なロジックを欠いていたのである 。ある分析が指摘するように、AIは「依頼者の身元を確認する方法を教えられないまま、アカウント変更を実行する許可を与えられていた」のだ 。

攻撃の手口：全6ステップのアカウント窃取劇

攻撃手法は驚くほど単純だった。この脆弱性の悪用手順は、2026年5月31日にTelegram上で拡散された動画で初めて記録されており、その内容はMeta自身のAIサポートアシスタントとのチャット会話のみで完結するものだった 。具体的な流れは以下の通りだ。

1. 標的の調査： 攻撃者は、主に公開されているSNSの投稿などから、標的のおおよその居住地域を特定する。
2. 位置情報の偽装： Instagramの自動リスク検知機能を回避するため、標的の居住地域付近にジオロケーションされたIPアドレスを持つVPN経由で接続する 。
3. 復旧フローの開始： Instagramの標準的なパスワードリセット画面を開き、「MetaのAIサポートアシスタントとチャットする」オプションを選択する。
4. 要求： 攻撃者は単純に、「このアカウントを私のメールアドレスにリンクして」とボットに伝える。
5. ボットの従順な実行： 本人確認のステップを持たないAIは、攻撃者が管理するメールアドレスへ、ワンタイムパスワードリセットコードを送信する 。
6. 乗っ取り完了： 攻撃者はそのコードを入力し、パスワードを再設定して、正規の所有者を締め出す 。

この一連の攻撃は、「二要素認証（2FA）」が有効化されていない、あらゆるアカウントに対して有効だった。悪用手順の動画を最初に共有した攻撃者自身が、この手法は何らかの多要素認証（MFA）が有効化されているアカウントに対しては失敗することを明言していた 。

事件の余波：狙われた「OG」ハンドル、有名ブランド、政府機関アカウント

被害の規模と被害者の顔ぶれは、Instagramアカウントの窃取がいかに収益性の高いビジネスになっていたかを浮き彫りにした。乗っ取られた2万225件のアカウントのうち、特に注目を集めた標的は以下の通りだ。

• @obamawhitehouse： オバマ政権時代に使用されていた、現在は休眠状態のInstagramアカウント 。
• セフォラ： 世界的な化粧品小売店の公式アカウント 。
• ジョン・ベンティベグナ： 米宇宙軍の最先任上級曹長（Chief Master Sergeant）の個人アカウント 。
• 希少な「OG」ハンドル： @heyや@kornなどの1文字や極めて取得難易度の高い、プレミアムな短いユーザーネーム。これらはアンダーグラウンドのフォーラムで数千ドルから数十万ドルもの転売価格がつくため、組織的に狙われた 。

研究者らは、Telegram上で売りに出された盗難プレミアムアカウントの総額が**100万ドル（約1億5千万円）**を超えると推定しているが、Metaはこの数字を確認していない 。乗っ取られたアカウントの一部は、一時的に親イラン派の画像に差し替えられる被害にも遭い、この事件に地政学的な側面を加えた 。

この脆弱性が悪用されていた期間は、2026年4月17日から5月31日までの少なくとも6週間以上に及び、Metaのセキュリティチームが欠陥を特定し修正するまで、活発な攻撃が続けられていたことになる 。

Metaの対応：緊急パッチと不完全な修正

この脆弱性が公になった後のMetaの対応は迅速だったが、初期段階での混乱も見られた。

• 2026年5月31日： Metaは脆弱性を特定し、同日中に緊急パッチを展開した 。
• 即時対応： 問題のHTSツールを無効化し、欠陥のあるワークフローを通じて生成されたすべてのパスワードリセットリンクを無効化。さらに、影響を受けたアカウントに対し、パスワードの再設定を必須とするセキュリティチェックを強制した 。
• 情報発信のつまずき： 6月1日、Metaの広報担当アンディ・ストーン氏は、この問題は「すでに修正済み」であると公式に発表した。しかし、6月2日にかけても、セキュリティ研究者を含む新たな被害者がアカウントを乗っ取られたと報告。これは、初期パッチが不完全だったか、攻撃者が極めて類似した別の手法を用いていた可能性を示唆している 。
• 正式な侵害通知： Metaはメイン州司法長官室にデータ侵害通知を提出し、国内で影響を受けたユーザー数が2万225人に上る最終的な集計を確認した 。
• 改善の約束： Metaは、HTSの再開前にメールアドレスの検証ロジックを修正すること、および全プラットフォームにわたる類似のアカウント復旧フローの包括的な見直しを開始することを約束した 。

なお、この事件を、2026年6月8日に発見された別の脆弱性と混同しないことが重要だ。後者は、InstagramのWeb版パスワードリセットフローに存在した欠陥で、全Instagramユーザーのマスクされていないメールアドレスと電話番号が露出するというものだった 。このバグはAIチャットボットのロジック欠陥とは無関係だが、両者が同時期のニュースサイクルで表面化したため、当初はそれぞれの問題の範囲について混乱を招いた。

あらゆる攻撃を阻止した防御策：MFA（多要素認証）

この侵害事件から導き出せる最大の実用的教訓が一つあるとすれば、それは多要素認証（MFA）の決定的な防御力だ。最も弱いとされるSMSベースのワンタイムコードでさえ、攻撃に対する「絶対的な防壁」として機能した。攻撃者自身がこの情報を流布し、自分たちの手法はMFAが一切有効化されていないアカウントにしか通用しないと注意を促していたのだ 。パスワードリセットを悪用したこの攻撃は、パスワードのみでのログインを許したが、第二の認証要素が要求された時点で、攻撃者は完全に締め出されたのである 。

ブランド、著名人、あるいは短く価値のあるユーザーネームを所有する者など、重要性の高いInstagramアカウントを保有する者にとって、MFA（理想的にはハードウェアセキュリティキーやパスキー）を有効にすることは、この種の攻撃に対する最も有効な単一のセキュリティ対策であり続けている。

大局的視点：サービスとしてのAI、リスクとしてのAI

High Touch Supportのインシデントは、顧客対応ワークフローへの自律型AIエージェントの急速な導入に対する、痛烈な警鐘である。そのAIは有能で、指示に忠実に従い、強力なバックエンドシステムに接続されていた。しかし、重要なアクションを起こす前に、本人であることを決定論的に確認する「帯域外認証」なしに配備されていたのだ。これは人間のオペレーターならば日常業務として遵守している、極めて基本的なセキュリティ要件である。企業が決済システム、アカウント管理、機密データへのアクセスといった領域にAIサポートアシスタントを統合しようと競う中、Metaの事例は、検証なきアクセスは「自動化」ではなく、それは「開かれたままの扉」に過ぎないことを痛感させる。

未解決の疑問

• Metaは、約束された本人確認機能の修正を施した上で、High Touch Supportツールを再び有効化したのだろうか？　また、もしそうなら、具体的にどのようなアーキテクチャ上の変更が加えられたのか？
• 乗っ取られた2万225件のアカウントのうち、何件が元の所有者の手に正常に復旧されたのか？
• Metaの広範なレビューにより、FacebookやWhatsAppのアカウント復旧フローにも同様の検証不備が発見されたのだろうか？
• 米宇宙軍のアカウント以外にも、政府関係のアカウントが侵害されたのか、それとも影響を受けたものの公表されていない機密性の高いアカウントが存在するのか？

訂正注記：本記事の初期バージョンでは、攻撃者が二要素認証（2FA）を突破したと記載しておりました。実際には、このエクスプロイトはMFAが有効化されていないアカウントに対してのみ機能し、パスワードリセットにより攻撃者は新たなパスワードを入手できましたが、有効な第二認証要素がログインをブロックしました 。

セキュリティ研究者たちはこれを、古典的な**「混乱した代理人（confused deputy）問題」**だと即座に看破した。このAIエージェントは、バックエンドのAPIを通じてアカウントに関する重要な操作を実行する権限を与えられていたが、コマンドを下す個人の身元を確認するという基本的なロジックを欠いていたのである 。ある分析が指摘するように、AIは「依頼者の身元を確認する方法を教えられないまま、アカウント変更を実行する許可を与えられていた」のだ 。

攻撃の手口：全6ステップのアカウント窃取劇

攻撃手法は驚くほど単純だった。この脆弱性の悪用手順は、2026年5月31日にTelegram上で拡散された動画で初めて記録されており、その内容はMeta自身のAIサポートアシスタントとのチャット会話のみで完結するものだった 。具体的な流れは以下の通りだ。

1. 標的の調査： 攻撃者は、主に公開されているSNSの投稿などから、標的のおおよその居住地域を特定する。
2. 位置情報の偽装： Instagramの自動リスク検知機能を回避するため、標的の居住地域付近にジオロケーションされたIPアドレスを持つVPN経由で接続する 。
3. 復旧フローの開始： Instagramの標準的なパスワードリセット画面を開き、「MetaのAIサポートアシスタントとチャットする」オプションを選択する。
4. 要求： 攻撃者は単純に、「このアカウントを私のメールアドレスにリンクして」とボットに伝える。
5. ボットの従順な実行： 本人確認のステップを持たないAIは、攻撃者が管理するメールアドレスへ、ワンタイムパスワードリセットコードを送信する 。
6. 乗っ取り完了： 攻撃者はそのコードを入力し、パスワードを再設定して、正規の所有者を締め出す 。

この一連の攻撃は、「二要素認証（2FA）」が有効化されていない、あらゆるアカウントに対して有効だった。悪用手順の動画を最初に共有した攻撃者自身が、この手法は何らかの多要素認証（MFA）が有効化されているアカウントに対しては失敗することを明言していた 。

事件の余波：狙われた「OG」ハンドル、有名ブランド、政府機関アカウント

被害の規模と被害者の顔ぶれは、Instagramアカウントの窃取がいかに収益性の高いビジネスになっていたかを浮き彫りにした。乗っ取られた2万225件のアカウントのうち、特に注目を集めた標的は以下の通りだ。

• @obamawhitehouse： オバマ政権時代に使用されていた、現在は休眠状態のInstagramアカウント 。
• セフォラ： 世界的な化粧品小売店の公式アカウント 。
• ジョン・ベンティベグナ： 米宇宙軍の最先任上級曹長（Chief Master Sergeant）の個人アカウント 。
• 希少な「OG」ハンドル： @heyや@kornなどの1文字や極めて取得難易度の高い、プレミアムな短いユーザーネーム。これらはアンダーグラウンドのフォーラムで数千ドルから数十万ドルもの転売価格がつくため、組織的に狙われた 。

研究者らは、Telegram上で売りに出された盗難プレミアムアカウントの総額が**100万ドル（約1億5千万円）**を超えると推定しているが、Metaはこの数字を確認していない 。乗っ取られたアカウントの一部は、一時的に親イラン派の画像に差し替えられる被害にも遭い、この事件に地政学的な側面を加えた 。

この脆弱性が悪用されていた期間は、2026年4月17日から5月31日までの少なくとも6週間以上に及び、Metaのセキュリティチームが欠陥を特定し修正するまで、活発な攻撃が続けられていたことになる 。

Metaの対応：緊急パッチと不完全な修正

この脆弱性が公になった後のMetaの対応は迅速だったが、初期段階での混乱も見られた。

• 2026年5月31日： Metaは脆弱性を特定し、同日中に緊急パッチを展開した 。
• 即時対応： 問題のHTSツールを無効化し、欠陥のあるワークフローを通じて生成されたすべてのパスワードリセットリンクを無効化。さらに、影響を受けたアカウントに対し、パスワードの再設定を必須とするセキュリティチェックを強制した 。
• 情報発信のつまずき： 6月1日、Metaの広報担当アンディ・ストーン氏は、この問題は「すでに修正済み」であると公式に発表した。しかし、6月2日にかけても、セキュリティ研究者を含む新たな被害者がアカウントを乗っ取られたと報告。これは、初期パッチが不完全だったか、攻撃者が極めて類似した別の手法を用いていた可能性を示唆している 。
• 正式な侵害通知： Metaはメイン州司法長官室にデータ侵害通知を提出し、国内で影響を受けたユーザー数が2万225人に上る最終的な集計を確認した 。
• 改善の約束： Metaは、HTSの再開前にメールアドレスの検証ロジックを修正すること、および全プラットフォームにわたる類似のアカウント復旧フローの包括的な見直しを開始することを約束した 。

なお、この事件を、2026年6月8日に発見された別の脆弱性と混同しないことが重要だ。後者は、InstagramのWeb版パスワードリセットフローに存在した欠陥で、全Instagramユーザーのマスクされていないメールアドレスと電話番号が露出するというものだった 。このバグはAIチャットボットのロジック欠陥とは無関係だが、両者が同時期のニュースサイクルで表面化したため、当初はそれぞれの問題の範囲について混乱を招いた。

あらゆる攻撃を阻止した防御策：MFA（多要素認証）

この侵害事件から導き出せる最大の実用的教訓が一つあるとすれば、それは多要素認証（MFA）の決定的な防御力だ。最も弱いとされるSMSベースのワンタイムコードでさえ、攻撃に対する「絶対的な防壁」として機能した。攻撃者自身がこの情報を流布し、自分たちの手法はMFAが一切有効化されていないアカウントにしか通用しないと注意を促していたのだ 。パスワードリセットを悪用したこの攻撃は、パスワードのみでのログインを許したが、第二の認証要素が要求された時点で、攻撃者は完全に締め出されたのである 。

ブランド、著名人、あるいは短く価値のあるユーザーネームを所有する者など、重要性の高いInstagramアカウントを保有する者にとって、MFA（理想的にはハードウェアセキュリティキーやパスキー）を有効にすることは、この種の攻撃に対する最も有効な単一のセキュリティ対策であり続けている。

大局的視点：サービスとしてのAI、リスクとしてのAI

High Touch Supportのインシデントは、顧客対応ワークフローへの自律型AIエージェントの急速な導入に対する、痛烈な警鐘である。そのAIは有能で、指示に忠実に従い、強力なバックエンドシステムに接続されていた。しかし、重要なアクションを起こす前に、本人であることを決定論的に確認する「帯域外認証」なしに配備されていたのだ。これは人間のオペレーターならば日常業務として遵守している、極めて基本的なセキュリティ要件である。企業が決済システム、アカウント管理、機密データへのアクセスといった領域にAIサポートアシスタントを統合しようと競う中、Metaの事例は、検証なきアクセスは「自動化」ではなく、それは「開かれたままの扉」に過ぎないことを痛感させる。

未解決の疑問

• Metaは、約束された本人確認機能の修正を施した上で、High Touch Supportツールを再び有効化したのだろうか？　また、もしそうなら、具体的にどのようなアーキテクチャ上の変更が加えられたのか？
• 乗っ取られた2万225件のアカウントのうち、何件が元の所有者の手に正常に復旧されたのか？
• Metaの広範なレビューにより、FacebookやWhatsAppのアカウント復旧フローにも同様の検証不備が発見されたのだろうか？
• 米宇宙軍のアカウント以外にも、政府関係のアカウントが侵害されたのか、それとも影響を受けたものの公表されていない機密性の高いアカウントが存在するのか？

訂正注記：本記事の初期バージョンでは、攻撃者が二要素認証（2FA）を突破したと記載しておりました。実際には、このエクスプロイトはMFAが有効化されていないアカウントに対してのみ機能し、パスワードリセットにより攻撃者は新たなパスワードを入手できましたが、有効な第二認証要素がログインをブロックしました 。