Как ии-помощник META оказался дверью для взломщиков instagram

Когда слабым звеном в защите аккаунта оказывается не пароль и не фишинг, а ИИ-помощник самой платформы, это уже не баг на краю системы, а провал в её основе.

Что произошло

В конце мая 2026 года стало известно о массовой компрометации Instagram-аккаунтов через уязвимость в ИИ-помощнике Meta для восстановления доступа.

Компания официально подтвердила: от этой атаки пострадали не менее 20 225 человек, включая 30 пользователей в штате Мэн. Это лишь те случаи, которые удалось зафиксировать по уведомлениям об утечке данных.

Хронология была простой: с 17 апреля хакеры начали эксплуатировать баг, затем о проблеме сообщили TechCrunch и 404 Media, после чего Meta закрыла дыру и начала рассылать уведомления пострадавшим.

Как именно атаковали

АТАКА ЧЕРЕЗ ЧАТБОТА META
─────────────────────────
     Злоумышленник              Система Meta           Жертва
          │                         │                    │
          ▼                         ▼                    ▼
┌─────────────────┐       ┌──────────────┐      ┌──────────────┐
│ Вводит email    │ ──▶   │ Чатбот       │      │ Email жертвы │
│ хакера вместо   │       │ принимает    │      │ не проверяет │
│ реального       │       │ запрос как   │      └──────────────┘
│ email жертвы    │       │ валидный     │
└─────────────────┘       └──────┬───────┘            │
                                 ▼                    │
                    ┌─────────────────────────┐       │
                    │ Отправляет ссылку для   ├─▶    ┌─────────────────┐
                    │ сброса пароля на        │      │ Хакер получает  │
                    │ email злоумышленника     │      │ ссылку первым   │
                    └─────────────────────────┘      └─────────────────┘

         СЛЕДУЮЩИЙ ШАГ: Смена пароля → Полный контроль над аккаунтом!

Механизм оказался до безобразия простым: злоумышленник знал username жертвы или её email, запускал диалог с ИИ-помощником Meta, вводил свой email вместо настоящего и получал ссылку для сброса пароля. После этого оставалось только сменить пароль и получить полный доступ к аккаунту.

Это классическая ошибка несоответствия между ожидаемым поведением системы и её реальной логикой проверки.

Почему это вообще возможно

В уведомлении об утечке данных Meta объясняет, что инструмент работал корректно, но из-за бага в отдельной ветке кода система не проверяла, совпадает ли предоставленный email с адресом, привязанным к аккаунту.

По сути, чатбот доверял пользовательскому вводу больше, чем собственной базе данных о владельце аккаунта. Это проблема доверия: ИИ-помощник поверил словам человека вместо внутренней проверки.

Последствия компрометации включают доступ к публикациям, личным сообщениям, контактам профиля, связанным аккаунтам и данным, которые можно использовать для дальнейшего мошенничества.

Meta утверждает, что неизвестно, была ли использована персональная информация после захвата аккаунтов. Но если злоумышленник уже читает сообщения и видит личные данные, вопрос о «неиспользовании» выглядит почти риторическим.

Масштаб проблемы шире технической детали

Пока тысячи пользователей получали уведомления о взломе, Meta параллельно сокращала сотрудников и увеличивала бонусы топ-менеджменту. Компания активно развивает искусственный интеллект, но при этом вырезает людей из процессов, отвечающих за безопасность критически важных функций.

Парадокс очевиден: автоматизация дешевле, чем поддержка сильной команды безопасности. Но когда автоматизация сама становится точкой входа для взломщиков, экономия превращается в репутационный кризис и судебные иски.

ЧТО ПОЛУЧАЕТ ХАКЕР ПОСЛЕ УГОНА АККАУНТА INSTAGRAM
───────────────────────────────────────────────────

              Все данные профиля                   Данные включают:
              ├── Фото и публикации                • Фото и видео контент,
              ├── Личные сообщения                 • Лайки и комментарии,
              ├── Контакты друзей                  • Список подписчиков,
              └── Связанные аккаунты               • Переписки в Direct,
                                                  • Email и телефон для фишинга,
                                                  • Привязанный Facebook,
                                                  • Платёжные данные, если есть.

         Один угнанный Instagram →
         цепочка мошенничества на годы вперёд!

Что делать прямо сейчас

Если у тебя есть Instagram-аккаунт, начни с двухфакторной аутентификации. Без неё ты остаёшься в зоне риска, где достаточно подменить email в процессе восстановления доступа.

• Включи двухфакторную аутентификацию через SMS или приложение-аутентификатор.
• Проверь активные сессии в разделе «Входы» и заверши все неизвестные.
• Смени пароль на сложный: не меньше 13 символов, с буквами, цифрами и спецсимволами.
• Проверь связанные приложения и отключи лишние сторонние сервисы.

Meta временно отключила чатбота, но это лишь значит, что компания пытается исправить систему, которая слишком долго работала без нормальной проверки граничных случаев.

Выводы

• Доверяй автоматизации меньше. ИИ в процессах авторизации должен жёстко сверять внешние данные с внутренними источниками.
• Простая проверка email могла предотвратить инцидент. Но её не было.
• Итог — десятки тысяч угнанных аккаунтов. Вместе с ними украдены данные, время и доверие к платформе.
• Один пароль на всё — плохая стратегия. Для важных сервисов нужна уникальная защита и двухфакторная аутентификация.
• ИИ без нормальной проверки безопасности создаёт больше проблем, чем решает. Цифровую идентичность украсть легче, чем вернуть.

Ссылки

• Meta confirms 1000s of Instagram accounts were hacked by abusing its AI chatbot — материал о компрометации Instagram-аккаунтов через ИИ-помощника Meta.