Как «доверчивый» ИИ-бот Meta выдал хакерам 20 225 аккаунтов Instagram

Этот инцидент — суровое напоминание о том, что развертывание ИИ-агентов с расширенными привилегиями без надежных проверок личности — путь к катастрофе. В июне 2026 года компания Meta подтвердила: из-за логической ошибки в ее ИИ-чате поддержки злоумышленники захватили 20 225 аккаунтов Instagram. Для этого не потребовалось ни вредоносное ПО, ни фишинг, ни взлом паролей. Это была социальная инженерия, направленная против искусственного интеллекта. Достаточно было открыть чат поддержки и попросить бота привязать аккаунт жертвы к новому адресу электронной почты. Бот послушно отправлял ссылку для сброса пароля, не проверяя, является ли запрашивающий настоящим владельцем .

Уязвимость: «Проблема доверчивого помощника» с большими полномочиями

Уязвимой оказалась система High Touch Support (HTS) — инструмент для восстановления аккаунтов с помощью ИИ, который Meta запустила в марте 2026 года, чтобы помогать пользователям возвращать доступ к заблокированным страницам. HTS могла без участия человека выполнять критически важные операции: привязывать новые email-адреса и запускать процедуру сброса пароля .

Первопричиной стала логическая ошибка в «отдельной ветке кода». По словам заместителя главного юрисконсульта Meta Эмбер Ханны, инструмент «работал правильно и выполнял предусмотренные функции», но во время сброса пароля система не проверяла, соответствует ли адрес, предоставленный запрашивающим, тому адресу, который привязан к Instagram-аккаунту. Ссылка для сброса пароля отправлялась на любой указанный адрес .

Исследователи в области кибербезопасности немедленно распознали в этом классическую «проблему доверчивого помощника» (confused deputy): ИИ-агент был уполномочен выполнять чувствительные операции через внутренние API, но не обладал базовой логикой для подтверждения личности того, кто отдавал команду . Как метко выразились в одном из анализов, ИИ «получил разрешение вносить изменения в аккаунты, но его не научили подтверждать личность запрашивающего» .

Как работала атака: 6 шагов до полного захвата

Метод атаки отличался пугающей простотой. Впервые он был задокументирован в видео, распространенном в Telegram 31 мая 2026 года, и представлял собой не более чем диалог с собственным ИИ-ассистентом поддержки Meta . Вот как это происходило:

1. Изучение цели: Злоумышленники собирали информацию о примерном географическом местоположении жертвы, часто из публичных постов в соцсетях.
2. Подмена местоположения: С помощью VPN они подключались с IP-адресом, геолоцированным рядом с известным регионом жертвы, чтобы не вызвать автоматических подозрений у систем безопасности Instagram .
3. Инициация процедуры: Атакующий открывал стандартную страницу сброса пароля Instagram и выбирал опцию «Чат с ИИ-ассистентом Meta».
4. Запрос: Атакующий просто говорил боту: «Привяжи этот аккаунт к моему email».
5. Выполнение команды: ИИ, не имея шага верификации личности, отправлял одноразовый код для сброса пароля на адрес, подконтрольный злоумышленнику .
6. Захват завершен: Атакующий вводил код, сбрасывал пароль и лишал законного владельца доступа к аккаунту .

Эта цепочка была успешна против любого аккаунта, где не была включена двухфакторная аутентификация (2FA). Сами злоумышленники, поделившиеся эксплойтом, открыто признавали, что их метод не работал против учетных записей с любым активным видом MFA .

Последствия: «OG»-юзернеймы, бренды и правительственные аккаунты

Масштаб и уровень жертв наглядно продемонстрировали, насколько lucrative стала кража Instagram-аккаунтов. Из 20 225 захваченных учетных записей наиболее заметными целями стали:

• @obamawhitehouse: Заархивированный Instagram-аккаунт администрации президента Обамы .
• Sephora: Официальная страница всемирного косметического ритейлера .
• Джон Бентивенья: Аккаунт главного мастер-сержанта Космических сил США .
• Премиальные «OG»-юзернеймы: Короткие и желанные имена пользователей, такие как @hey и @korn, были методично атакованы, поскольку их стоимость на подпольных форумах варьируется от тысяч до сотен тысяч долларов .

Исследователи подсчитали, что совокупная стоимость украденных премиум-аккаунтов, выставленных на продажу в Telegram, превысила 1 миллион долларов, хотя Meta эту цифру официально не подтвердила . Некоторые захваченные аккаунты были ненадолго осквернены проиранскими изображениями, что добавило инциденту геополитический оттенок .

«Окно уязвимости» оставалось открытым как минимум с 17 апреля по 31 мая 2026 года — более шести недель активной эксплуатации, прежде чем служба безопасности Meta обнаружила и исправила ошибку .

Действия Meta: Экстренный патч и затянувшаяся угроза

Реакция Meta была быстрой после публичной огласки, но не обошлась без первоначальной путаницы:

• 31 мая 2026 г.: Meta выявила уязвимость и в тот же день выпустила экстренный патч .
• Немедленные меры: Компания отключила уязвимый инструмент HTS, аннулировала все ссылки для сброса пароля, сгенерированные через дефектный механизм, и принудительно провела пострадавшие аккаунты через обязательные контрольные точки безопасности с требованием сменить пароль .
• Проблемы с коммуникацией: 1 июня официальный представитель Meta Энди Стоун публично заявил, что проблема «уже устранена». Однако вплоть до 2 июня появлялись новые жертвы, включая исследователей безопасности, чьи аккаунты были захвачены. Это указывало на то, что первый патч был неполным, либо злоумышленники использовали похожий вектор атаки .
• Официальное уведомление об утечке: Meta подала уведомление об утечке данных в офис генерального прокурора штата Мэн, подтвердив окончательное число в 20 225 пострадавших пользователей по всей стране .
• Обещанные исправления: Meta обязалась исправить логику верификации email до перезапуска HTS и инициировала всестороннюю проверку аналогичных процессов восстановления аккаунтов на всех своих платформах .

Важно отличать этот инцидент от другой, не связанной с ним уязвимости, обнаруженной 8 июня 2026 года. Тогда ошибка в веб-интерфейсе сброса пароля Instagram раскрыла незамаскированные email-адреса и номера телефонов всех пользователей Instagram . Этот баг не имел отношения к логической ошибке ИИ-бота, но обе новости появились в одном новостном цикле, что породило путаницу.

Защита, которая остановила каждую атаку: MFA

Если из этой истории и можно извлечь один ключевой урок, так это решающая сила многофакторной аутентификации. Даже самая слабая ее форма — одноразовые коды по SMS — работала как непреодолимый барьер. Сами злоумышленники распространяли эту информацию, предупреждая, что их техника работает только с аккаунтами, где не активирована ни одна форма MFA . Эксплойт позволял войти в систему, используя только новый пароль; когда требовался второй фактор, злоумышленники оказывались в тупике .

Для всех, кто владеет ценным Instagram-аккаунтом — будь то бренд, публичная личность или обладатель короткого юзернейма, — включение MFA, а в идеале аппаратного ключа безопасности или passkey, остается единственной наиболее эффективной мерой защиты от атак подобного класса.

Общая картина: ИИ как услуга — ИИ как риск

Инцидент с High Touch Support — это предостережение против стремительного развертывания автономных ИИ-агентов в процессах, ориентированных на клиента. ИИ был функционален, он следовал инструкциям и имел доступ к мощным внутренним системам. Но его внедрили без обязательной дополнительной аутентификации для чувствительных действий — фундаментального требования безопасности, которое операторы-люди соблюдают по умолчанию. В то время как организации спешат интегрировать ИИ-ассистентов в платежные системы, управление аккаунтами и доступ к конфиденциальным данным, случай Meta служит напоминанием: доступ без проверки личности — это не автоматизация, а открытая дверь.

Открытые вопросы

• Была ли система High Touch Support перезапущена с обещанными исправлениями верификации, и какие именно архитектурные изменения были внесены?
• Скольким владельцам из 20 225 взломанных аккаунтов удалось полностью восстановить доступ?
• Выявила ли более масштабная проверка Meta аналогичные уязвимости в системах восстановления Facebook или WhatsApp?
• Был ли аккаунт Космических сил США единственным правительственным аккаунтом среди скомпрометированных, или пострадали и другие, но информация не была раскрыта?

Примечание с исправлением: В ранней версии статьи утверждалось, что злоумышленники обошли 2FA. Эксплойт работал только против аккаунтов без включенной MFA; сброс пароля позволял получить новый пароль, но любой активный второй фактор блокировал вход .