- Un fallo en el chatbot de soporte permitió a los atacantes modificar correos electrónicos de recuperación sin validación previa.
- Más de 20.000 perfiles se han visto comprometidos, incluyendo cuentas de celebridades y grandes empresas internacionales.
- La vulnerabilidad afectó principalmente a usuarios que no tenían activada la autenticación en dos pasos en sus perfiles.
- Meta ha suspendido temporalmente el servicio HTS para corregir los protocolos de verificación antes de reactivarlo.
La seguridad en las redes sociales ha sufrido un revés importante tras detectarse una brecha de seguridad sin precedentes que ha afectado a la integridad de miles de usuarios. Un problema en el sistema de ayuda inteligente, diseñado para facilitar la gestión de perfiles, terminó abriendo una puerta trasera que diversos grupos de atacantes no tardaron en aprovechar para hacerse con el control de cuentas ajenas.
Este incidente ha puesto el foco en los riesgos de implementar herramientas de inteligencia artificial que aún no cuentan con los filtros de seguridad necesarios para procesos tan críticos como el restablecimiento de credenciales. Aunque la compañía ha reaccionado desactivando las funciones afectadas, la noticia ha caído como un jarro de agua fría entre la comunidad digital europea, donde la privacidad es un tema especialmente sensible.
Cómo el asistente virtual de Meta facilitó el acceso indebido
El método utilizado por los atacantes fue tan ingenioso como preocupante, ya que utilizaron conexiones VPN para burlar los sistemas de localización de la red social. Al simular que se encontraban en el mismo lugar que los dueños legítimos de las cuentas, consiguieron engañar a los sistemas automáticos de Meta, que no detectaron ninguna actividad sospechosa en el inicio del proceso de recuperación de los perfiles.
Una vez dentro del sistema de soporte conocido como High Touch Support (HTS), los ciberdelincuentes solicitaron al chatbot el cambio de la dirección de correo electrónico vinculada a la cuenta. Debido a un bug en una ruta de código independiente, el asistente virtual no verificó si la nueva dirección guardaba relación con el usuario original, facilitando así enlaces directos para cambiar la contraseña y dejando a los propietarios reales completamente fuera de juego.
El alcance masivo del ataque y los perfiles vulnerados
La magnitud del problema es considerable, alcanzando a más de 20.000 personas que han visto cómo sus perfiles desaparecían de sus manos de un momento a otro. Entre los afectados se encuentran personajes tan relevantes como Barack Obama o grandes marcas de cosmética como Sephora, lo que demuestra que el ataque no discriminaba entre usuarios comunes y perfiles de alto impacto con millones de seguidores.
Los datos que podrían haber sido extraídos durante este tiempo son variados, desde información de contacto y fechas de nacimiento hasta mensajes directos y servicios conectados. Resulta especialmente llamativo que casi la totalidad de las víctimas compartían un factor común: no contaban con la protección de la verificación en dos pasos, lo que allanó el camino para que los atacantes tomaran el control total sin encontrar resistencia adicional. QuienesSospechan de un acceso no autorizado pueden consultar cómo saber si me han hackeado Instagram para verificar su estado.
La respuesta de la compañía y medidas de seguridad
Ante el revuelo causado, el vicepresidente de comunicaciones de la tecnológica, Andy Stone, confirmó que ya se han tomado medidas para tapar este agujero de seguridad. Meta notificó la incidencia al fiscal general de Maine y procedió a invalidar todos los enlaces de recuperación generados durante el periodo de exposición, obligando a los usuarios que sufrieron el robo a pasar por un proceso de recuperación de cuenta de Instagram hackeada mediante identificación manual para recuperar sus espacios digitales.
De cara al futuro, la empresa se ha comprometido a realizar una auditoría profunda no solo en Instagram, sino también en plataformas como WhatsApp y Threads para garantizar que este error no se repita. Se espera que el asistente de soporte vuelva a estar operativo próximamente, pero esta vez con protocolos de autenticación mucho más estrictos que aseguren que quien pide un cambio de datos es, efectivamente, el dueño de la cuenta.
La seguridad digital se enfrenta a un reto constante donde la implementación de nuevas tecnologías debe ir de la mano con pruebas de resistencia extremas. Tras el secuestro de una cantidad ingente de perfiles por un descuido técnico, Meta se ve obligada a replantearse la fiabilidad de sus procesos automatizados. Los usuarios, por su parte, han recibido un aviso serio sobre la importancia de utilizar sistemas de doble verificación para evitar que cualquier fallo ajeno ponga en riesgo su privacidad y el control de su huella digital en la red.