De 'Hoge Touch' hack: hoe een naïeve AI-chatbot 20.225 Instagram-accounts weggaf

In een harde les over het inzetten van AI-agenten met verhoogde rechten zonder robuuste identiteitscontroles, bevestigde Meta in juni 2026 dat een logische fout in zijn AI-gestuurde klantenservice-chatbot aanvallers in staat stelde om 20.225 Instagram-accounts over te nemen. De exploit vereiste geen malware, phishing of het kraken van wachtwoorden. Het was pure sociale manipulatie, maar dan gericht tegen een AI. Aanvallers openden simpelweg een supportchat en vroegen de bot om het account van een slachtoffer aan een nieuw e-mailadres te koppelen. De bot gehoorzaamde zonder te verifiëren of de verzoeker de echte eigenaar was .

De fout: een 'confused deputy' AI met te veel macht

Het kwetsbare systeem was Meta's High Touch Support (HTS), een AI-ondersteunde accounthersteltool die in maart 2026 werd gelanceerd om gebruikers te helpen weer toegang te krijgen tot vergrendelde Instagram-accounts. HTS handelde gevoelige workflows af, zoals het opnieuw koppelen van e-mailadressen en het activeren van wachtwoordresets, zonder menselijke tussenkomst .

De hoofdoorzaak was een logische bug in een "apart codepad" van HTS. Volgens Meta's Associate General Counsel Amber Hannah werkte de tool naar behoren voor zijn kerntaken, maar tijdens het resetten van wachtwoorden controleerde het systeem niet of het e-mailadres dat door de verzoeker werd opgegeven, overeenkwam met het e-mailadres dat aan het Instagram-account was gekoppeld. Het stuurde de resetlink naar elk opgegeven adres .

Beveiligingsonderzoekers herkenden dit onmiddellijk als een klassiek confused deputy-probleem: de AI-agent was gemachtigd om via back-end API's gevoelige accountoperaties uit te voeren, maar miste de fundamentele logica om de identiteit te bevestigen van de persoon die de opdracht gaf . Zoals een analyse het stelde: de AI kreeg "toestemming om accountwijzigingen door te voeren zonder te leren hoe het de identiteit van de verzoeker moest bevestigen" . De AI was de 'gevolmachtigde' (deputy) die in de war werd gebracht door een kwaadwillende 'opdrachtgever'.

De aanval: een accountroof in 6 stappen

De aanvalsmethode was onthutsend simpel. De exploit werd voor het eerst gedocumenteerd in een video die op 31 mei 2026 op Telegram circuleerde. Het enige dat nodig was, was een chatgesprek met Meta's eigen AI-ondersteuningsassistent . Zo werkte het:

1. Doelwitonderzoek: Aanvallers verzamelden de algemene geografische locatie van het doelwit, vaak uit openbare posts op sociale media.
2. Locatie-spoofing: Ze maakten verbinding via een VPN met een IP-adres in de buurt van de bekende regio van het doelwit om de geautomatiseerde risicovlaggen van Instagram te omzeilen .
3. Flow starten: De aanvaller opende de standaard wachtwoord-resetpagina van Instagram en koos de optie om met Meta's AI-ondersteuningsassistent te chatten.
4. Het verzoek: De aanvaller vertelde de bot simpelweg: "Koppel dit account aan mijn e-mailadres."
5. Bot gehoorzaamt: De AI stuurde, zonder enige identiteitsverificatie, een eenmalige wachtwoord-resetcode naar het door de aanvaller beheerde e-mailadres .
6. Overname voltooid: De aanvaller voerde de code in, reset het wachtwoord en sloot de rechtmatige eigenaar buiten .

Deze aanvalsketen was succesvol bij elk account waar geen twee-factor-authenticatie (2FA) was ingeschakeld. De aanvallers die de exploitvideo oorspronkelijk deelden, bevestigden expliciet dat hun methode faalde op accounts met welke vorm van MFA dan ook .

De schade: waardevolle 'OG'-gebruikersnamen, merken en overheidsaccounts

De schaal en het profiel van de slachtoffers onderstreepten hoe lucratief Instagram-accountdiefstal is geworden. Van de 20.225 gehackte accounts waren de meest zichtbare doelwitten:

• @obamawhitehouse: Het slapende Instagram-account van de regering-Obama .
• Sephora: Het officiële account van de wereldwijde cosmeticaretailer .
• John Bentivegna: Het Instagram-account van de Chief Master Sergeant van de Amerikaanse Space Force, een hoge onderofficier .
• Zeldzame 'OG'-gebruikersnamen: Premium korte gebruikersnamen zoals enkelvoudige karakters of zeer gewilde aliassen – bijvoorbeeld accounts als @hey en @korn – werden systematisch aangevallen omdat ze op ondergrondse fora wederverkoopprijzen van duizenden tot honderdduizenden dollars opleveren .

Onderzoekers schatten de gezamenlijke waarde van de gestolen premium accounts die op Telegram te koop werden aangeboden op meer dan $1 miljoen, hoewel Meta dit bedrag niet heeft bevestigd . Verschillende gekaapte accounts werden kortstondig beklad met pro-Iraanse beelden voordat ze werden vergrendeld, wat een geopolitiek tintje aan het incident gaf .

Het kwetsbaarheidsvenster liep van ten minste 17 april tot 31 mei 2026 — meer dan zes weken van actieve exploitatie voordat Meta's beveiligingsteam de fout identificeerde en patchte .

Meta's reactie: een noodpatch en een haperende oplossing

Meta's responstijdlijn was snel toen de exploit eenmaal publiek werd, hoewel gekenmerkt door aanvankelijke verwarring:

• 31 mei 2026: Meta identificeerde de kwetsbaarheid en zette dezelfde dag nog een noodpatch uit .
• Onmiddellijke acties: Het bedrijf schakelde de kwetsbare HTS-tool uit, maakte alle via de foutieve workflow gegenereerde wachtwoordresetlinks ongeldig, en dwong getroffen accounts door verplichte beveiligingscontroles waarbij wachtwoorden opnieuw moesten worden ingesteld .
• Struikeling in communicatie: Op 1 juni verklaarde Meta-woordvoerder Andy Stone publiekelijk dat het probleem "al opgelost" was. Echter, op 2 juni meldden nieuwe slachtoffers — inclusief beveiligingsonderzoekers — dat hun accounts waren overgenomen, wat suggereert dat de eerste patch niet volledig was of dat aanvallers een nauw verwante variant gebruikten .
• Formele datalekmelding: Meta diende een datalekmelding in bij het kantoor van de procureur-generaal van Maine, waarin het definitieve aantal van 20.225 getroffen gebruikers landelijk werd bevestigd .
• Toegezegde herstelmaatregelen: Meta beloofde de e-mailverificatielogica te repareren voordat HTS opnieuw werd gelanceerd en startte een uitgebreide evaluatie van vergelijkbare accountherstelprocessen op al zijn platforms .

Het is belangrijk om dit incident te onderscheiden van een aparte, maar gelijktijdige kwetsbaarheid die op 6 juni 2026 werd ontdekt, waarbij een fout in Instagrams webgebaseerde wachtwoordreset-flow de ongemaskeerde e-mailadressen en telefoonnummers van élke Instagram-gebruiker blootlegde . Die bug stond los van de logische fout in de AI-chatbot, maar beide kwamen in dezelfde nieuwscyclus naar boven, wat aanvankelijk voor verwarring zorgde over de reikwijdte van elk probleem.

De verdediging die elke aanval blokkeerde: MFA

Als er één concrete les uit dit datalek te trekken valt, dan is het de doorslaggevende kracht van multi-factor authenticatie. Zelfs de zwakste vorm — via sms verzonden eenmalige codes — fungeerde als een ondoordringbare muur. De aanvallers verspreidden deze informatie zelf en waarschuwden dat hun techniek alleen werkte op accounts zonder enige vorm van geactiveerde MFA . De wachtwoordreset-exploit stelde hen in staat om in te loggen met alleen een wachtwoord; zodra een tweede factor vereist was, werden de aanvallers buitengesloten .

Voor iedereen met een waardevol Instagram-account — een merk, publiek figuur of eigenaar van een korte gebruikersnaam — blijft het inschakelen van MFA, idealiter met een hardware-beveiligingssleutel of passkey, de meest effectieve beveiligingsmaatregel tegen dit type aanval.

Het grotere plaatje: AI als dienst, AI als risico

Het High Touch Support-incident is een waarschuwend verhaal voor de snelle inzet van autonome AI-agenten in klantgerichte workflows. De AI was capabel, volgde instructies op en was verbonden met krachtige back-end systemen. Maar het werd ingezet zonder een deterministische, out-of-band authenticatie voor gevoelige acties — een fundamentele beveiligingseis die menselijke agenten routinematig volgen. Terwijl organisaties haast maken om AI-ondersteuningsassistenten te integreren in betalingssystemen, accountbeheer en toegang tot gevoelige data, dient de Meta-case als een herinnering dat toegang zonder verificatie geen automatisering is; het is een open deur.

Openstaande vragen

• Heeft Meta de High Touch Support-tool opnieuw ingeschakeld met de beloofde identiteitsverificatiefixes, en zo ja, welke specifieke architectuurwijzigingen zijn er doorgevoerd?
• Hoeveel van de 20.225 gehackte accounts zijn met succes hersteld naar hun oorspronkelijke eigenaren?
• Heeft Meta's bredere evaluatie vergelijkbare verificatieproblemen gevonden in de herstelprocessen van Facebook of WhatsApp?
• Was het U.S. Space Force-account het enige compromis met betrekking tot de overheid, of werden er andere gevoelige accounts getroffen die niet openbaar zijn gemaakt?

Correctienota: In een eerdere versie van dit artikel stond dat aanvallers 2FA omzeilden. De exploit werkte alleen tegen accounts zonder MFA; de wachtwoordreset gaf aanvallers een nieuw wachtwoord, maar elke actieve tweede factor blokkeerde de aanval .