Falha no suporte por chatbot permitia pedidos de reset de senha e transferência de acesso.
A Meta notificou mais de 20 mil contas do Instagram após identificar um exploit no chatbot de IA usado no suporte da plataforma. A falha permitia que invasores solicitassem reset de senha ou transferência de acesso sem as credenciais da vítima. A Meta afirma que corrigiu o problema e nega violação sistêmica.
A Meta notificou usuários do Instagram sobre um incidente que envolveu mais de 20 mil contas comprometidas. A causa estava em um exploit no chatbot de IA usado pelo suporte da plataforma — a ferramenta podia ser manipulada para aceitar pedidos indevidos relacionados à recuperação de contas, sem que o solicitante precisasse comprovar ser o dono legítimo.
Notificações foram enviadas a usuários em diferentes regiões, com cerca de 30 registros documentados no Maine. O caso afetou tanto contas comuns quanto perfis de alto perfil. A Meta afirma que a falha foi corrigida e nega que tenha ocorrido uma violação sistêmica de seus sistemas.
O detalhe que distingue esse caso de um ataque comum é que o vetor não era senha fraca nem phishing. O ponto crítico era o próprio fluxo de atendimento automatizado. Invasores conseguiam pedir ao chatbot de suporte que executasse ações sensíveis — redefinição de senha ou transferência de acesso — aproveitando brechas nas regras de validação da ferramenta.
Isso expõe um risco concreto do uso de IA em suporte ao cliente: quando um chatbot tem autoridade para alterar credenciais ou acesso, ele se torna um alvo tão valioso quanto qualquer outro sistema crítico. Sem validação robusta, um pedido bem formulado pode gerar uma mudança real na conta — mesmo sem a senha do titular.
Usuários do Instagram e times que gerenciam perfis corporativos devem ficar atentos a qualquer indício de acesso indevido ou tentativa de recuperação não autorizada:
Se você usa o Instagram para fins pessoais, comerciais ou institucionais, comece pelo básico: revise os dados de recuperação da conta e confirme se o e-mail e o telefone cadastrados ainda pertencem a você. Qualquer alerta da Meta deve ser verificado diretamente no app — nunca por links recebidos em e-mail ou mensagens externas.
Para empresas, a resposta precisa ir além da conta individual. Mapeie quem tem acesso aos perfis corporativos, remova administradores que não fazem mais parte do time e defina um processo interno para reagir rapidamente a alertas da Meta. Em contas de marca, a perda de acesso pode significar fraudes com clientes, publicações fora de controle e dano reputacional de difícil reversão.
Não segundo a própria empresa. A Meta nega violação sistêmica e afirma que o caso envolveu o abuso de um fluxo de suporte com chatbot de IA, já corrigido.
O incidente envolveu mais de 20 mil contas comprometidas, incluindo alguns perfis de alto perfil. Cerca de 30 notificações foram documentadas no Maine.
Que chatbots com autoridade para alterar senha, identidade ou acesso precisam de controles equivalentes aos de qualquer sistema crítico. Validação humana, regras claras de escalonamento e auditorias periódicas deixam de ser opcionais quando IA opera em fluxos sensíveis.
A LC SEC ajuda empresas a avaliar riscos em fluxos digitais, suporte automatizado e uso de IA, reduzindo a chance de tomada de contas e exposição de clientes.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
Texto fornecido na entrada