Una vulnerabilidad en la inteligencia artificial utilizada por Meta para el soporte en Instagram permitió que ciberdelincuentes secuestraran miles de cuentas de manera rápida y sencilla. El sistema, diseñado para ayudar en la recuperación de perfiles bloqueados, terminó siendo un punto débil explotado por atacantes para eludir controles de seguridad tradicionales.
El método consistió en usar redes privadas virtuales (VPN) para simular que la conexión provenía de la misma localidad que el dueño legítimo de la cuenta, lo que desactivaba medidas de verificación geográfica. Así, los delincuentes lograban engañar al chatbot automatizado, que no verificaba rigurosamente la identidad del solicitante ni la autenticidad del nuevo correo electrónico asociado a la cuenta.
El procedimiento permitía a los hackers solicitar el cambio de correo electrónico y recibir un código de confirmación directamente en la nueva dirección bajo su control. Al introducir este código en la conversación con la IA, el sistema daba por válida la identidad y habilitaba la opción para restablecer la contraseña, bloqueando al propietario original del acceso a su perfil.
Este problema evidencia los riesgos de confiar funciones críticas de seguridad a sistemas automatizados sin supervisión humana. Meta reemplazó anteriormente el soporte tradicional por la herramienta llamada High Touch Support, eliminando filtros que antes detectaban solicitudes sospechosas. Esto permitió que las intrusiones se sucedieran durante semanas sin ser detenidas.
Además, la ola de secuestros digitales se coordinó a través de canales de mensajería privada como Telegram, facilitando ataques masivos. Incluso las cuentas con medidas adicionales de seguridad resultaron vulnerables si no tenían configurados correctamente sus protocolos, lo que generó numerosas quejas entre los usuarios afectados por el fallo.
Meta asegura haber intervenido para corregir la vulnerabilidad, pero el incidente refuerza la necesidad de balancear la automatización en atención al cliente con mecanismos que prevengan la suplantación de identidad y protejan los datos personales.