Een AI-gestuurde supporttool van Meta, bedoeld om gebruikers te helpen bij accountherstel, bleek maandenlang een open deur voor hackers. Meta bevestigt dat 20.225 Instagram-accounts mogelijk zijn gecompromitteerd nadat aanvallers het AI-systeem misbruikten om wachtwoordreset-links aan te vragen voor accounts die niet van hen waren.

 

De supporttool met de naam High Touch Support werd in maart dit jaar gelanceerd door Meta als AI-ondersteund systeem. HTC zou mensen moeten helpen om weer toegang te krijgen tot geblokkeerde Instagram-accounts.

In de kern komt HTC neer op een chatbot die een van de meest voorkomende contactredenen, account recovery, afhandelt. Het ging mis bij de identiteitsverificatie: een bug zorgde ervoor dat het systeem niet controleerde of het opgegeven e-mailadres overeenkwam met het adres dat aan het Instagram-account gekoppeld was.

Wie een willekeurig, niet-gekoppeld mailadres opgaf, ontving op dat adres een resetlink op binnen in plaats van een afwijzing, aldus een bericht van Bleeping Computer. Zodra een aanvaller op die manier het wachtwoord had gereset, stond de oorspronkelijke eigenaar buiten spel. Uitzondering waren de accounts met tweefactorauthenticatie; die konden niet worden gekaapt.

De bug bleef relatief lang ongemoeid: rond 17 april 2026 kwamen de eerste meldingen binnen, maar de bug werd pas op 31 mei ontdekt. Volgens TechCrunch gingen de aanvallen door tot 2 juni, nadat Meta al had gemeld dat het lek gedicht was.

Meta heeft de tool offline gehaald, alle door HTS gegenereerde resetlinks ongeldig gemaakt en alle getroffen accounts door een  verplichte security procedure heengehaald. Voordat de tool weer live gaat, wil het bedrijf de e-mailverificatiestap repareren en vergelijkbare herstelprocessen op al zijn platforms auditen.

(Bleeping Computer)

Technologie