Hur Metas AI-kundtjänst delade ut lösenordsåterställning till hackare – en varning för AI-risker

I en skarp påminnelse om riskerna med att använda AI-agenter med höga privilegier utan robusta identitetskontroller bekräftade Meta i juni 2026 att ett logikfel i deras AI-drivna kundtjänstchattbot gjorde det möjligt för angripare att ta över 20 225 Instagram-konton. Attacken krävde varken skadlig kod, nätfiske eller lösenordsknäckning. Det var en social manipulation riktad mot en AI. Angriparna öppnade helt enkelt en supportchatt och bad boten att länka offrets konto till en ny e-postadress – och boten följde instruktionen och skickade en återställningslänk för lösenord, utan att kontrollera att den som bad om det var den riktiga ägaren .

Sårbarheten: En ”confused deputy”-AI med för mycket makt

Det sårbara systemet var Metas High Touch Support (HTS), ett AI-assisterat kontoåterställningsverktyg utformat för att hjälpa användare att återfå åtkomst till låsta Instagram-konton. HTS lanserades i mars 2026 och hanterade känsliga arbetsflöden som att byta e-postadress och utlösa lösenordsåterställning helt utan mänsklig inblandning .

Grundorsaken var ett logikfel i en "separat kodväg" i HTS. Enligt Metas biträdande chefsjurist Amber Hannah fungerade verktyget "korrekt och som avsett" för sina kärnuppgifter, men vid lösenordsåterställning misslyckades systemet med att kontrollera att e-postadressen som angavs av den som bad om återställningen matchade den e-postadress som var registrerad på Instagram-kontot. Återställningslänken skickades till vilken adress som helst som angavs .

Säkerhetsforskare identifierade omedelbart detta som ett klassiskt confused deputy-problem: AI-agenten var auktoriserad att utföra känsliga kontooperationer via bakomliggande API:er, men saknade den grundläggande logiken för att bekräfta identiteten hos personen som gav kommandot . Som en analys uttryckte det: AI:n fick "tillstånd att göra kontoändringar utan att ha fått lära sig att bekräfta den som begärde dem" .

Attacken: Kontostöld i sex enkla steg

Attackmetoden var brutalt enkel. Utnyttjandet dokumenterades först i en video som spreds på Telegram den 31 maj 2026, och det handlade inte om mer än en chattkonversation med Metas egna AI-supportassistent . Så här gick det till:

1. Målforskning: Angriparna samlade in målets ungefärliga geografiska plats, ofta från offentliga inlägg i sociala medier.
2. Platsförfalskning: De anslöt via ett VPN med en IP-adress som var geolokaliserad nära målets kända region för att undvika att utlösa Instagrams automatiserade riskflaggor .
3. Starta flödet: Angriparen öppnade Instagrams standardsida för lösenordsåterställning och valde alternativet att chatta med Metas AI-supportassistent.
4. Förfrågan: Angriparen sa helt enkelt till boten: "Länka det här kontot till min e-postadress."
5. Botens medgörlighet: AI:n, som saknade ett steg för identitetsverifiering, skickade en engångskod för lösenordsåterställning till den e-postadress angriparen kontrollerade .
6. Övertagandet klart: Angriparen angav koden, återställde lösenordet och låste ute den legitima ägaren .

Denna attackkedja var framgångsrik mot alla konton där tvåfaktorsautentisering (2FA) inte var aktiverad. Angriparna som ursprungligen delade utnyttjandevideon bekräftade uttryckligen att deras metod misslyckades mot konton med någon form av multifaktorautentisering aktiverad .

Efterspelet: Värdefulla användarnamn, varumärken och myndighetskonton

Omfattningen och profilen på offren underströk hur lukrativ stöld av Instagram-konton hade blivit. Av de 20 225 kapade kontona var de mest synliga målen:

• @obamawhitehouse: Det vilande Instagram-kontot från Obamaadministrationen .
• Sephora: Den globala skönhetskedjans officiella konto .
• John Bentivegna: Instagram-kontot som tillhörde den amerikanska rymdstyrkans chefsmästare sergeant .
• Sällsynta ”OG”-användarnamn: Premiumkorta och unika användarnamn – som @hey och @korn – blev systematiskt attackerade eftersom de betingar andrahandsvärden från tusentals till hundratusentals dollar på underjordiska forum .

Säkerhetsforskare uppskattade att det sammanlagda värdet av de stulna premiumkonton som listades till försäljning på Telegram översteg 1 miljon dollar, men Meta har inte bekräftat denna siffra . Flera av de kapade kontona utsattes för tillfällig skadegörelse med pro-iransk symbolik innan de låstes, vilket gav incidenten en geopolitisk dimension .

Sårbarhetsfönstret sträckte sig från åtminstone 17 april till 31 maj 2026 – över sex veckor av aktivt utnyttjande innan Metas säkerhetsteam identifierade och åtgärdade felet .

Metas svar: En panikpatch och en trasig fix

Metas svarstid var snabb när utnyttjandet väl blivit offentligt, men det inleddes med en del förvirring:

• 31 maj 2026: Meta identifierade sårbarheten och distribuerade en akut patch samma dag .
• Omedelbara åtgärder: Företaget inaktiverade det sårbara HTS-verktyget, ogiltigförklarade alla återställningslänkar som genererats genom det felaktiga arbetsflödet och tvingade berörda konton genom obligatoriska säkerhetskontroller som krävde lösenordsbyte .
• Kommunikationsmiss: Den 1 juni uppgav Metas talesperson Andy Stone offentligt att problemet "redan var åtgärdat". Trots det rapporterade ytterligare offer – inklusive säkerhetsforskare – att deras konton tagits över fram till den 2 juni, vilket antydde att den initiala patchen var ofullständig eller att angriparna använde en närbesläktad variant .
• Formell anmälan: Meta lämnade in en dataintrångsanmälan till delstaten Maines justitieminister och bekräftade den slutliga siffran på 20 225 drabbade användare nationellt .
• Löfte om åtgärd: Meta åtog sig att åtgärda logiken för e-postverifiering innan HTS återlanserades och inledde en omfattande granskning av liknande återställningsflöden på alla sina plattformar .

Det är viktigt att skilja denna incident från en separat men samtidig sårbarhet som upptäcktes den 8 juni 2026, där ett fel i Instagrams webbaserade lösenordsåterställningsflöde exponerade e-postadresser och telefonnummer i klartext för alla Instagram-användare . Det felet var orelaterat till AI-chattbotens logikfel, men båda dök upp i samma nyhetscykel, vilket skapade initial förvirring om omfattningen av respektive problem.

Försvaret som stoppade alla attacker: Tvåfaktorsautentisering

Om det finns en enda handlingsinriktad lärdom från denna incident så är det den avgörande kraften i multifaktorautentisering. Även den svagaste formen – SMS-baserade engångskoder – fungerade som ett totalstopp. Angriparna själva spred denna information och varnade för att deras teknik endast fungerade på konton utan någon form av MFA aktiverad . Lösenordsåterställningsexploiten tillät inloggning enbart med ett lösenord; när en andra faktor krävdes blev angriparna utelåsta .

För alla som innehar ett högvärdigt Instagram-konto – ett varumärke, en offentlig person eller ägare av ett kort användarnamn – är aktivering av multifaktorautentisering, helst med en fysisk säkerhetsnyckel eller passkey, fortfarande den enskilt mest effektiva säkerhetsåtgärden mot denna typ av attack.

Den större bilden: AI som tjänst, AI som risk

High Touch Support-incidenten är en varnande historia för den snabba implementeringen av autonoma AI-agenter i kundnära arbetsflöden. AI:n var kapabel, den följde instruktioner och den var ansluten till kraftfulla bakomliggande system. Men den sattes i drift utan deterministisk, extern autentisering för känsliga åtgärder – ett grundläggande säkerhetskrav som mänskliga handläggare följer rutinmässigt. När organisationer tävlar om att integrera AI-supportassistenter i betalningssystem, kontohantering och åtkomst till känsliga data, tjänar Meta-fallet som en påminnelse om att tillgång utan verifiering inte är automatisering; det är en öppen dörr.

Öppna frågor

• Har Meta återaktiverat High Touch Support-verktyget med de utlovade identitetsverifieringskorrigeringarna, och i så fall, vilka specifika arkitekturförändringar har gjorts?
• Hur många av de 20 225 kapade kontona har framgångsrikt återställts till sina ursprungliga ägare?
• Har Metas bredare granskning upptäckt liknande verifieringssårbarheter i Facebooks eller Whatsapps återställningsflöden?
• Var det amerikanska rymdstyrkans konto den enda regeringsanknutna komprometteringen, eller påverkades andra känsliga konton utan att offentliggöras?

Rättelse: En tidigare version av denna artikel angav att angriparna kringgick 2FA. Utnyttjandet fungerade endast mot konton utan MFA aktiverad; lösenordsåterställningen gav angriparna ett nytt lösenord, men varje aktiv andra faktor blockerade inloggningen .