Så blev AI-supporten en genväg till kontokapning

Meta hade nyligen börjat använda en AI-baserad supportassistent för uppgifter som kontoåterställning och lösenordsbyten på Instagram och Facebook . Problemet var att assistenten hade möjlighet att skriva till känsliga system för kontohantering.

Enligt rapporterna upptäckte hackare att boten kunde instrueras att byta e-postadress kopplad till ett Instagramkonto – utan att kräva ett verkligt bevis på att personen som bad om ändringen faktiskt ägde kontot .

Videor och instruktioner som spreds på Telegram och X beskrev följande angreppskedja :

1. Förfalskad platsinformation. Angriparen använde en VPN-tjänst för att ansluta från en region som liknade offrets. Det kunde hjälpa till att passera Instagrams automatiska regionala kontroller .
2. Kontakt med AI-supporten. Angriparen öppnade en chatt med Metas AI Support Assistant och påstod sig vara den riktiga kontoägaren .
3. Byte av e-postadress. Boten ombads koppla kontot till en e-postadress som angriparen kontrollerade. Enligt rapporterna skickades verifieringskoden då till den nya adressen, utan en separat identitetskontroll mot den ursprungliga kontoägaren .
4. Återställning av lösenordet. När den nya e-postadressen var kopplad kunde angriparen begära en vanlig lösenordsåterställning, ta emot länken och byta lösenordet .
5. Utestängning och försäljning. Angriparen kunde därefter aktivera tvåfaktorsautentisering under egen kontroll och stänga ute den riktiga ägaren. Värdefulla användarnamn uppges ha sålts eller bytts på underjordiska Telegram-kanaler; vissa uppskattningar placerade enskilda korta användarnamn på över 500 000 dollar .

En säkerhetskommentator sammanfattade bristen med orden att chatboten ”inte ställde några frågor” . Det var alltså en kapning som byggde mer på övertygande formuleringar än på avancerad teknisk kompetens.

Metas besked: problemet är löst – men hur mycket?

Den 1 juni 2026 skrev Metas kommunikationschef Andy Stone på X: ”Det här problemet är löst och vi säkrar de berörda kontona” . Företaget uppgav att en akut säkerhetsuppdatering hade skickats ut under helgen den 30–31 maj .

Men efterföljande rapportering väckte frågor om huruvida uppdateringen behandlade grundproblemet eller bara den synliga symptomen.

• Ingen tydlig oberoende identitetskontroll. Den centrala svagheten var att en AI hade tillgång till funktioner som kunde ändra e-postadress och återställa lösenord utan obligatorisk kontroll via den ursprungliga e-postadressen, en betrodd enhet eller annan separat kanal .
• Möjligen en ändring i gränssnittet, inte i systemen bakom. Vissa utvecklare uppgav att Meta bara hade tagit bort knappen ”Get Support” från gränssnittet, medan de underliggande API-anropen fortfarande kunde nås direkt. I så fall skulle samma typ av instruktioner i teorin fortfarande kunna användas för otillåtna kontoändringar .
• Rapporter om fortsatta angrepp. TechCrunch rapporterade den 3 juni att Instagram började varna användare som hade utsatts eller varit måltavlor, men att det saknades bekräftelse på att prompt injection-sårbarheten var helt stängd .
• Ingen offentlig analys av grundorsaken. Meta publicerade inte någon detaljerad efteranalys eller beskrev vilka skydd som hade lagts till. Det gjorde det svårt för externa forskare att självständigt bedöma uppdateringens effektivitet .

Det är just bristen på insyn som oroar säkerhetsexperter. Om problemet bara hanteras med fasta regler i ett system som tolkar språk sannolikhetsmässigt kan angripare försöka hitta nya formuleringar som tar sig runt nästa spärr .

Den större lärdomen: AI är en ny angreppsyta

Instagramincidenten visar varför det inte räcker att behandla AI-support som en vanlig kundtjänstfunktion. Så snart en språkmodell får möjlighet att ändra identitetskritisk information blir den en del av säkerhetsinfrastrukturen – och därmed också en möjlig angreppsyta.

Prompt injection blir AI-erans motsvarighet till SQL-injektion

Traditionella angrepp som nätfiske, stulna inloggningsuppgifter och databasintrång kräver ofta teknisk åtkomst eller någon form av föregående kompromettering. I det här fallet räckte det enligt rapporterna med en konversation som fick boten att lita på fel person .

Verifieringsluckan var ett arkitekturproblem

Boten tycks ha saknat en separat kontroll för privilegierade åtgärder. Det fanns ingen kod till den ursprungliga e-postadressen, ingen bekräftelse på en redan betrodd enhet och ingen kryptografisk kontroll som chatboten kunde inte kringgå .

En supportassistent som kan ändra lösenord, koppla e-postadresser eller på annat sätt förändra en användares digitala identitet behöver därför en spärr utanför själva AI-modellen. Den kan bygga på mänsklig handläggning, en fysisk säkerhetsnyckel eller annan oberoende autentisering.

En statisk patch räcker sannolikt inte

Språkmodeller fungerar inte som traditionell programkod med ett begränsat antal förutsägbara kommandon. Angripare kan testa nya varianter av en instruktion och leta efter oväntade vägar runt säkerhetsreglerna. Den säkrare lösningen är därför att bygga systemet så att AI:n aldrig själv kan genomföra privilegierade ändringar – oavsett vad användaren skriver .

En AI kan förklara hur en kontoåterställning går till. Den bör däremot inte på egen hand kunna byta e-postadress, återställa ett lösenord eller ändra andra uppgifter som avgör vem som har kontroll över kontot.

Förtroendet för automatiserad support står på spel

Metaincidenten kommer samtidigt som teknikföretag försöker ersätta allt fler mänskliga supportkontakter med språkmodeller. Löftet om hjälp dygnet runt är attraktivt, men automatiseringen blir en risk om bekvämlighet får gå före behörighetskontroller.

För plattformar med miljarder konton är lärdomen enkel: en supportbot kan vara snabb och hjälpsam – men den får aldrig vara den enda som avgör vem som har rätt till ett konto.

Så blev AI-supporten en genväg till kontokapning

Meta hade nyligen börjat använda en AI-baserad supportassistent för uppgifter som kontoåterställning och lösenordsbyten på Instagram och Facebook . Problemet var att assistenten hade möjlighet att skriva till känsliga system för kontohantering.

Enligt rapporterna upptäckte hackare att boten kunde instrueras att byta e-postadress kopplad till ett Instagramkonto – utan att kräva ett verkligt bevis på att personen som bad om ändringen faktiskt ägde kontot .

Videor och instruktioner som spreds på Telegram och X beskrev följande angreppskedja :

1. Förfalskad platsinformation. Angriparen använde en VPN-tjänst för att ansluta från en region som liknade offrets. Det kunde hjälpa till att passera Instagrams automatiska regionala kontroller .
2. Kontakt med AI-supporten. Angriparen öppnade en chatt med Metas AI Support Assistant och påstod sig vara den riktiga kontoägaren .
3. Byte av e-postadress. Boten ombads koppla kontot till en e-postadress som angriparen kontrollerade. Enligt rapporterna skickades verifieringskoden då till den nya adressen, utan en separat identitetskontroll mot den ursprungliga kontoägaren .
4. Återställning av lösenordet. När den nya e-postadressen var kopplad kunde angriparen begära en vanlig lösenordsåterställning, ta emot länken och byta lösenordet .
5. Utestängning och försäljning. Angriparen kunde därefter aktivera tvåfaktorsautentisering under egen kontroll och stänga ute den riktiga ägaren. Värdefulla användarnamn uppges ha sålts eller bytts på underjordiska Telegram-kanaler; vissa uppskattningar placerade enskilda korta användarnamn på över 500 000 dollar .

En säkerhetskommentator sammanfattade bristen med orden att chatboten ”inte ställde några frågor” . Det var alltså en kapning som byggde mer på övertygande formuleringar än på avancerad teknisk kompetens.

Metas besked: problemet är löst – men hur mycket?

Den 1 juni 2026 skrev Metas kommunikationschef Andy Stone på X: ”Det här problemet är löst och vi säkrar de berörda kontona” . Företaget uppgav att en akut säkerhetsuppdatering hade skickats ut under helgen den 30–31 maj .

Men efterföljande rapportering väckte frågor om huruvida uppdateringen behandlade grundproblemet eller bara den synliga symptomen.

• Ingen tydlig oberoende identitetskontroll. Den centrala svagheten var att en AI hade tillgång till funktioner som kunde ändra e-postadress och återställa lösenord utan obligatorisk kontroll via den ursprungliga e-postadressen, en betrodd enhet eller annan separat kanal .
• Möjligen en ändring i gränssnittet, inte i systemen bakom. Vissa utvecklare uppgav att Meta bara hade tagit bort knappen ”Get Support” från gränssnittet, medan de underliggande API-anropen fortfarande kunde nås direkt. I så fall skulle samma typ av instruktioner i teorin fortfarande kunna användas för otillåtna kontoändringar .
• Rapporter om fortsatta angrepp. TechCrunch rapporterade den 3 juni att Instagram började varna användare som hade utsatts eller varit måltavlor, men att det saknades bekräftelse på att prompt injection-sårbarheten var helt stängd .
• Ingen offentlig analys av grundorsaken. Meta publicerade inte någon detaljerad efteranalys eller beskrev vilka skydd som hade lagts till. Det gjorde det svårt för externa forskare att självständigt bedöma uppdateringens effektivitet .

Det är just bristen på insyn som oroar säkerhetsexperter. Om problemet bara hanteras med fasta regler i ett system som tolkar språk sannolikhetsmässigt kan angripare försöka hitta nya formuleringar som tar sig runt nästa spärr .

Den större lärdomen: AI är en ny angreppsyta

Instagramincidenten visar varför det inte räcker att behandla AI-support som en vanlig kundtjänstfunktion. Så snart en språkmodell får möjlighet att ändra identitetskritisk information blir den en del av säkerhetsinfrastrukturen – och därmed också en möjlig angreppsyta.

Prompt injection blir AI-erans motsvarighet till SQL-injektion

Traditionella angrepp som nätfiske, stulna inloggningsuppgifter och databasintrång kräver ofta teknisk åtkomst eller någon form av föregående kompromettering. I det här fallet räckte det enligt rapporterna med en konversation som fick boten att lita på fel person .

Verifieringsluckan var ett arkitekturproblem

Boten tycks ha saknat en separat kontroll för privilegierade åtgärder. Det fanns ingen kod till den ursprungliga e-postadressen, ingen bekräftelse på en redan betrodd enhet och ingen kryptografisk kontroll som chatboten kunde inte kringgå .

En supportassistent som kan ändra lösenord, koppla e-postadresser eller på annat sätt förändra en användares digitala identitet behöver därför en spärr utanför själva AI-modellen. Den kan bygga på mänsklig handläggning, en fysisk säkerhetsnyckel eller annan oberoende autentisering.

En statisk patch räcker sannolikt inte

Språkmodeller fungerar inte som traditionell programkod med ett begränsat antal förutsägbara kommandon. Angripare kan testa nya varianter av en instruktion och leta efter oväntade vägar runt säkerhetsreglerna. Den säkrare lösningen är därför att bygga systemet så att AI:n aldrig själv kan genomföra privilegierade ändringar – oavsett vad användaren skriver .

En AI kan förklara hur en kontoåterställning går till. Den bör däremot inte på egen hand kunna byta e-postadress, återställa ett lösenord eller ändra andra uppgifter som avgör vem som har kontroll över kontot.

Förtroendet för automatiserad support står på spel

Metaincidenten kommer samtidigt som teknikföretag försöker ersätta allt fler mänskliga supportkontakter med språkmodeller. Löftet om hjälp dygnet runt är attraktivt, men automatiseringen blir en risk om bekvämlighet får gå före behörighetskontroller.

För plattformar med miljarder konton är lärdomen enkel: en supportbot kan vara snabb och hjälpsam – men den får aldrig vara den enda som avgör vem som har rätt till ett konto.