A Meta confirmou que mais de 20 mil utilizadores do Instagram tiveram as suas contas sequestradas devido a uma vulnerabilidade grave no seu próprio sistema de suporte baseado em inteligência artificial. O problema afetou principalmente os perfis que não tinham a autenticação de dois fatores ativada.
Conforme detalhado na notificação de violação de dados oficial, enviada pelas autoridades norte-americanas, os atacantes aproveitaram-se de uma falha na ferramenta High Touch Support (HTS), um sistema assistido por IA criado para ajudar na recuperação de acessos à plataforma.
Como funcionou o ataque ao suporte da Meta
A ferramenta de apoio automatizado tinha como objetivo facilitar a vida a quem ficasse trancado fora do perfil. Contudo, o sistema da Meta falhou num ponto básico: não verificava se o endereço de email introduzido pelos utilizadores correspondia, na verdade, à conta que estava a ser alvo do pedido.
Isto permitiu que os cibercriminosos gerassem links legítimos de reposição de palavra-passe diretamente para si próprios, contornando a segurança das vítimas. A tecnológica detetou o problema a 31 de maio de 2026, mas os dados apontam para que a campanha maliciosa tenha começado a 17 de abril. Com o controlo das contas, os invasores ganharam acesso a dados como mensagens diretas (DMs), fotografias, vídeos, números de telemóvel e datas de nascimento.
A resposta da empresa e medidas de segurança
Assim que o incidente foi descoberto, a empresa desativou o sistema HTS e invalidou todas as ligações de redefinição de password geradas pelo assistente inteligente. Todas as contas afetadas do Instagram foram integradas num checkpoint de segurança obrigatório, forçando os utilizadores a passar por uma nova autenticação para reaver os seus perfis.
Antes de colocar o suporte por IA novamente online, os engenheiros prometem aplicar uma verificação rigorosa de identidade no ponto de entrada do sistema. Este cenário traz de volta o debate sobre a pressa em aplicar IA a tudo, especialmente numa empresa que acumula um histórico pesado de sanções na Europa devido a problemas de privacidade e ao armazenamento de credenciais em texto limpo.
Nenhum comentário
Seja o primeiro!