Meta corrige falla de IA que permitió secuestrar cuentas de Instagram

Una vulnerabilidad en el sistema de soporte con inteligencia artificial de Meta permitió que ciberdelincuentes accedieran a cuentas de Instagram sin necesidad de robar contraseñas.

Delincuentes informáticos aprovecharon una falla en la inteligencia artificial utilizada por Meta para la recuperación de cuentas de Instagram, lo que les permitió tomar el control de perfiles de influencers, empresas y usuarios de alto valor sin recurrir a técnicas tradicionales como phishing o malware. La compañía confirmó el problema y aseguró que fue corregido a finales de mayo de 2026.

Hackers aprovecharon la IA de Meta para acceder a cuentas

Una vulnerabilidad detectada en el sistema de recuperación de cuentas de Instagram gestionado por inteligencia artificial permitió que atacantes obtuvieran acceso a perfiles sin necesidad de conocer las contraseñas de los usuarios.

La investigación, revelada por Krebs On Security, expuso que los ciberdelincuentes utilizaron el chatbot de soporte de Meta para convencer al sistema de que eran los propietarios legítimos de determinadas cuentas. Mediante técnicas de ingeniería social, lograban que la IA procesara solicitudes fraudulentas y modificara datos críticos de recuperación.

El ataque no requería malware, robo de credenciales ni acceso a correos electrónicos de las víctimas. En cambio, explotaba una falla en la lógica del sistema automatizado encargado de gestionar solicitudes de recuperación.

Cómo funcionaba el método de ataque

El proceso comenzaba cuando el atacante iniciaba una conversación con el asistente virtual de Meta. Tras presentar información manipulada y utilizar diferentes variaciones de mensajes, conseguía que la IA aceptara una dirección de correo electrónico bajo su control.

Posteriormente, el sistema enviaba los códigos de recuperación a ese correo fraudulento, permitiendo el restablecimiento de la contraseña y el acceso completo a la cuenta.

Especialistas señalaron que la ausencia de autenticación multifactor (2FA) y de controles más estrictos dentro del flujo de recuperación facilitó la explotación de esta vulnerabilidad.

Influencers y empresas, entre los principales objetivos

Las cuentas más atractivas para los atacantes fueron aquellas asociadas a influencers, marcas reconocidas y empresas con una gran cantidad de seguidores.

Investigadores de ciberseguridad como ZachXBT y Dark Web Informer detectaron que varios de estos perfiles eran comercializados en canales privados de Telegram, donde algunas cuentas alcanzaban valores combinados superiores al millón de dólares.

Además del acceso al perfil, los atacantes podían consultar mensajes privados, modificar configuraciones de seguridad, recuperar conversaciones y utilizar las cuentas comprometidas para nuevas estafas o fraudes.

El riesgo fue especialmente relevante para negocios y startups que utilizan Instagram como canal principal de ventas, atención al cliente o comunicación con su comunidad.

El riesgo de automatizar procesos sensibles

El incidente volvió a poner sobre la mesa los desafíos de integrar inteligencia artificial en procesos relacionados con la seguridad digital.

De acuerdo con especialistas que analizaron el caso, la IA priorizaba la resolución rápida de solicitudes sobre la verificación exhaustiva de identidad. Esto permitió que los atacantes probaran múltiples estrategias hasta encontrar la manera de superar los filtros automatizados.

Meta reconoció la existencia del fallo y confirmó que el problema fue parcheado a finales de mayo de 2026. Sin embargo, la compañía no ha revelado cuántas cuentas pudieron verse afectadas antes de la corrección.

Cómo reducir el riesgo de una intrusión

Expertos en ciberseguridad destacan que las cuentas protegidas con autenticación en dos pasos mediante aplicaciones especializadas no fueron vulneradas durante esta campaña.

También recomiendan utilizar correos electrónicos privados para la recuperación de cuentas, emplear contraseñas únicas y robustas, revisar periódicamente las sesiones activas y conservar códigos de respaldo para emergencias.

El caso demuestra que incluso los sistemas impulsados por inteligencia artificial pueden convertirse en un objetivo para los ciberdelincuentes cuando carecen de mecanismos sólidos de validación y supervisión humana.

Noticias del tema