- Meta confirma que 20 225 cuentas de Instagram se vieron afectadas por una falla en el restablecimiento de contraseñas de HTS
- Un error permitía a los atacantes solicitar restablecimientos a direcciones de correo electrónico no asociadas
- HTS ha sido desactivado, se han restablecido las contraseñas y se está llevando a cabo una revisión completa del proceso de recuperación
La empresa ha confirmado que el ataque de la semana pasada contra el servicio de atención al cliente de Meta afectó a algo más de 20 000 cuentas. Los hackers lograron acceder a estos perfiles y, muy probablemente, sustrajeron los datos que contenían.
La semana pasada se dio a conocer que unos ciberdelincuentes aprovecharon una vulnerabilidad en el servicio de atención al cliente de Meta, basado en inteligencia artificial, engañándolo para que enviara códigos de restablecimiento de contraseña de cuentas ajenas.
Ahora, la empresa propietaria de Facebook e Instagram presentó un nuevo informe ante la Oficina del Fiscal General de Maine, en el que declaró que 20 225 personas se vieron afectadas. En una carta que Meta envió al Fiscal General de Maine, se indicó que la empresa descubrió una falla en High Touch Support (un sistema de recuperación de cuentas asistido por IA para Instagram) el 31 de mayo de 2026.
Mitigar la intrusión
«La herramienta en sí funcionaba correctamente y según lo previsto; sin embargo, debido a un error en una ruta de código independiente, el sistema no verificó adecuadamente que la dirección de correo electrónico proporcionada por la persona que solicitaba el restablecimiento de la contraseña coincidiera con la dirección de correo electrónico asociada a la cuenta de Instagram de ese usuario. Como resultado, cuando una persona proporcionaba una dirección de correo electrónico no asociada previamente a la cuenta, el sistema enviaba por error un enlace para restablecer la contraseña a ese correo electrónico no asociado, en lugar de rechazar la solicitud», explicó Meta.
La empresa afirma que no hay evidencia de filtración de datos, pero no descarta esa posibilidad, dado que los delincuentes pudieron acceder fácilmente a ellos. Esto incluye información de contacto (dirección de correo electrónico y/o número de teléfono), fecha de nacimiento, publicaciones y contenido en redes sociales (fotos, videos, historias), mensajes directos y comunicaciones, actividad de la cuenta e historial de interacción, información del perfil (biografía, foto de perfil), y cuentas conectadas y servicios vinculados.
Para abordar el problema, Meta desactivó el sistema HTS y restableció las contraseñas de todos los perfiles afectados. También sometió a todas las cuentas afectadas a un control de seguridad obligatorio y pidió a todos los usuarios que se volvieran a autenticar.
«Antes de relanzar la herramienta, Meta corregirá el proceso de autenticación en el punto de acceso de recuperación de Instagram para garantizar la verificación adecuada de las direcciones de correo electrónico con la información de la cuenta existente antes de que se inicie cualquier restablecimiento de contraseña», subrayó Meta. «Además, Meta está llevando a cabo una revisión exhaustiva de los flujos de recuperación de cuentas similares en todas sus plataformas para identificar y solucionar cualquier posible problema».
Muhammad Yahya Patel, vCISO y asesor de ciberseguridad de Huntress, dijo:
«Se trata de una nueva categoría de riesgo que la industria debe empezar a tomar en serio. A medida que la IA se integra en los flujos de trabajo operativos, la atención al cliente, la verificación de identidad y la gestión de accesos, la superficie de ataque pasa de las vulnerabilidades técnicas a las lógicas.
Cualquier organización que implemente IA en flujos de trabajo de soporte, identidad o acceso debe hacerse una pregunta antes de la puesta en marcha: ¿qué sucede si un atacante trata esta herramienta como superficie de ataque? Los sistemas de IA que pueden desencadenar acciones privilegiadas, como restablecimientos de contraseñas, acceso a cuentas o recuperación de datos, requieren los mismos controles de acceso rigurosos y la misma lógica de verificación que cualquier otro sistema privilegiado. El hecho de que esté impulsado por IA no lo convierte en un riesgo menor. En este momento, para muchas organizaciones, lo está aumentando.
La cuestión más importante es lo que esto indica sobre el proceso de revisión de seguridad de las herramientas impulsadas por IA antes de que entren en producción».
A través de BleepingComputer
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
