Un grave bug nel sistema di assistenza basato su intelligenza artificiale di Meta ha permesso ad aggressori esterni di prendere il controllo di oltre 20.000 account Instagram, sfruttando una falla critica nella procedura di recupero delle credenziali.
La falla nel sistema High Touch Support (HTS)
Meta ha confermato che 20.225 utenti Instagram hanno subito il furto del proprio account a causa di una vulnerabilità nel sistema High Touch Support (HTS). Si tratta di uno strumento basato su intelligenza artificiale progettato per assistere gli utenti che hanno perso l'accesso al proprio profilo, guidandoli nel processo di recupero.
L'attacco ha sfruttato un errore di programmazione nel percorso di verifica dell'identità. Sebbene lo strumento HTS fosse progettato per inviare link di reset della password, un bug in un percorso di codice separato impediva al sistema di verificare se l'indirizzo email fornito dal richiedente corrispondesse effettivamente a quello registrato sull'account Instagram. Di conseguenza, il sistema inviava il link di ripristino a qualsiasi indirizzo email inserito dall'aggressore, garantendogli l'accesso immediato.
Dinamica dell'incidente e dati esposti
Secondo quanto dichiarato da Amber Hannah, consulente legale di Meta per la risposta agli incidenti, in una notifica inviata all'ufficio del Procuratore Generale del Maine, il sistema ha erroneamente considerato valide richieste provenienti da soggetti non autorizzati. Una volta ottenuto il link di reset e impostata una nuova password, gli aggressori potevano operare liberamente sul profilo vittima.
Sebbene Meta non abbia specificato l'entità esatta del furto di dati per ogni singolo profilo, ha ammesso che gli hacker potrebbero aver avuto accesso a una vasta gamma di informazioni personali:
- Informazioni di contatto (email e numeri di telefono).
- Date di nascita.
- Contenuti privati e pubblici (foto, video, storie).
- Messaggi diretti (DM) e cronologia delle comunicazioni.
- Attività dell'account e cronologia delle interazioni.
- Informazioni del profilo (biografia e foto).
- Servizi e account collegati.
Risposta tecnica e cronologia
Il registro ufficiale indica che la violazione è iniziata il 17 aprile 2026, ma Meta ha scoperto la vulnerabilità attiva nel sistema HTS solo il 31 maggio 2026. Una volta rilevata l'anomalia, l'azienda ha intrapreso diverse azioni correttive immediate:
Azioni di contenimento di Meta
- 1Disattivazione HTSIl sistema di supporto basato su AI è stato spento per impedire nuovi attacchi.
- 2Revoca dei linkTutti i link di reset password generati dal sistema sono stati invalidati.
- 3Checkpoint di sicurezzaGli account potenzialmente compromessi sono stati inseriti in una procedura di verifica obbligatoria.
- 4Reset forzatoÈ stato richiesto agli utenti coinvolti di reimpostare la password e ri-autenticarsi.
Meta ha dichiarato che, prima di riattivare lo strumento HTS, implementerà un controllo di autenticazione più rigoroso nel punto di accesso al recupero account, garantendo che l'email fornita sia incrociata con i dati già presenti nei database aziendali.
Il contesto: i precedenti di Meta nella protezione dati
Questo incidente si aggiunge a una serie di sanzioni e violazioni che hanno colpito l'azienda negli ultimi anni. La gestione della privacy e della sicurezza dei dati rimane un punto critico per il colosso dei social media.
| Data | Sanzione/Evento | Motivazione |
|---|---|---|
| Giugno 2026 | Oltre 20.000 account | Bug nel sistema di assistenza AI (HTS). |
| Settembre 2024 | 91 milioni di euro | Conservazione delle password in formato testuale (senza cifratura). |
| Novembre 2022 | 265 milioni di euro | Mancata protezione contro lo scraping dei dati degli utenti. |
| Novembre 2022 | 264 milioni di dollari | Violazione del 2018 che ha esposto dati di 29 milioni di account Facebook. |
Sicurezza AI sotto esame
L integrazione dell intelligenza artificiale nel supporto clienti ha creato una falla logica elementare ma devastante. Sebbene Meta abbia reagito tempestivamente dopo la scoperta, l incidente sottolinea come l automazione dei processi critici di sicurezza richieda test di penetrazione molto più rigorosi.