Chatbot de IA da Meta ajudou hackers a invadir contas do Instagram, inclusive a da Casa Branca

Hackers usaram com sucesso o chatbot de IA de suporte da Meta para tomar contas do Instagram por meio de engenharia social simples. A falha permitia que qualquer pessoa acessasse o perfil de outra apenas pedindo ao chatbot que trocasse o e-mail vinculado e redefinisse a senha.

Como funcionava a exploração

Os hackers publicaram no Telegram vídeos que mostram o processo passo a passo. O ataque começava com um pedido ao chatbot de IA de suporte da Meta. O hacker pedia ajuda, supostamente para recuperar o acesso a uma conta, sem fornecer verificação suficiente. O sistema de IA, sem proteção contra engenharia social, atendia a todos os pedidos.

O chatbot trocava o e-mail vinculado ao perfil-alvo pelo do hacker. Depois, bastava redefinir a senha pelo método padrão de recuperação: enviar um código de confirmação para o novo e-mail. Assim, o controle total da conta passava para o invasor.

O processo era tão simples que qualquer um podia repeti-lo. Os hackers nem tentaram esconder o método e compartilharam a prova em vídeo abertamente.

Contas de alto perfil invadidas

A vulnerabilidade atingiu não só usuários comuns, mas também perfis governamentais protegidos:

• A conta oficial da Casa Branca @obamawhitehouse, com mais de 10 milhões de seguidores
• A conta do chefe do Estado-Maior da Força Aérea dos EUA (Chief Master Sergeant)
• Outros perfis corporativos e governamentais de alto perfil

Depois de tomar a conta da Casa Branca, os invasores começaram a publicar propaganda iraniana. O incidente rapidamente chamou a atenção da mídia mundial e mostrou como até os perfis mais protegidos eram vulneráveis.

Posição da Meta e correção

A Meta reconheceu o problema rapidamente e afirmou que a vulnerabilidade já havia sido corrigida. A empresa confirmou que a exploração de fato era possível pela função de suporte e que foram adotadas proteções adicionais.

"Já corrigimos essa vulnerabilidade", afirmou a

Meta em comunicado oficial.

No entanto, a empresa deu poucos detalhes. Não está claro se a verificação do dono da conta no chatbot foi melhorada ou se a própria lógica do sistema de IA foi alterada. A Meta também não revelou quando descobriu o problema.

O que isso significa

O incidente expõe uma fragilidade crítica na confiança dos usuários em sistemas de IA. Quando até uma conta protegida do governo dos EUA pode ser tomada com algumas perguntas a um chatbot, é sinal de que o suporte com IA precisa repensar a fundo a verificação.

Para usuários comuns, a lição é clara: é preciso proteger não só as senhas, mas também os e-mails vinculados. Compartilhar dados pessoais com chatbots de IA exige o máximo de cautela.

*A Meta é considerada organização extremista e está proibida na Rússia.