Una vulnerabilidad en un chatbot de inteligencia artificial utilizado por Meta permitió que atacantes tomaran el control de determinadas cuentas de Instagram sin necesidad de contraseñas ni programas maliciosos. La compañía confirmó el incidente esta semana y aseguró que la falla ya fue corregida.
Cómo ocurrió
Según la información divulgada por especialistas en seguridad informática y posteriormente confirmada por Meta, el problema se encontraba en la lógica operativa del asistente automatizado de soporte integrado en Facebook e Instagram.
La vulnerabilidad no comprometió los servidores internos de la empresa ni implicó una intrusión directa en la infraestructura tecnológica de la plataforma. En cambio, el fallo afectó los mecanismos de verificación utilizados por el chatbot para procesar determinadas solicitudes relacionadas con la recuperación de cuentas.
De acuerdo con capturas de pantalla y videos compartidos por investigadores y grupos de análisis de ciberseguridad, los atacantes iniciaban conversaciones con el asistente virtual a través de los canales habituales de soporte.
Posteriormente, solicitaban asociar la cuenta objetivo a una nueva dirección de correo electrónico. El sistema procesaba la petición y enviaba códigos de verificación al solicitante sin completar adecuadamente las validaciones de identidad requeridas.
La vulnerabilidad permitía que un atacante modificara la dirección de correo electrónico vinculada a una cuenta.
Con acceso al código de verificación enviado por el sistema, era posible restablecer las credenciales de acceso y asumir el control completo del perfil afectado.
Según los reportes conocidos hasta ahora, los atacantes también utilizaron redes privadas virtuales (VPN) para ocultar su ubicación real y simular conexiones cercanas a las de los propietarios legítimos de las cuentas.
Meta indicó que el problema fue identificado y corregido durante el fin de semana, aunque no reveló cuántos usuarios pudieron resultar afectados.
Lo que se sabe sobre las cuentas comprometidas
Entre los perfiles mencionados en los informes difundidos públicamente figuran cuentas de alto perfil pertenecientes a instituciones, empresas y figuras públicas.
Entre ellas se encuentran una cuenta vinculada al periodo presidencial de Barack Obama en la Casa Blanca, la compañía de cosméticos Sephora, el funcionario militar John Bentivegna y la investigadora de seguridad informática Jane Wong.
No obstante, Meta no ha publicado una lista oficial completa de los perfiles afectados ni una cifra definitiva sobre el alcance del incidente.
Respuesta de Meta
En una declaración oficial emitida el lunes, Meta confirmó la existencia de la vulnerabilidad y aseguró que el problema ya fue solucionado.
La empresa afirmó que no se produjo una brecha de seguridad en los sistemas centrales de Instagram ni en la infraestructura de servidores que sostiene la plataforma.
Asimismo, indicó que implementó medidas para proteger las cuentas afectadas y reforzar los mecanismos de validación utilizados por el chatbot.
Implicaciones para la industria tecnológica
El incidente pone de relieve uno de los desafíos emergentes de la inteligencia artificial aplicada a los servicios de atención automatizada.
A medida que las compañías tecnológicas otorgan mayores capacidades operativas a sus asistentes virtuales, aumenta la necesidad de establecer controles rigurosos para evitar que errores de lógica sean explotados por actores maliciosos.
Especialistas en ciberseguridad han advertido que la automatización de procesos sensibles, como la recuperación de cuentas o la gestión de credenciales, requiere mecanismos de autenticación robustos capaces de verificar la identidad del usuario antes de ejecutar acciones críticas.
Cómo proteger una cuenta de Instagram
Los expertos recomiendan activar la autenticación en dos pasos mediante aplicaciones dedicadas, como Google Authenticator o Duo Mobile, ya que ofrecen una capa adicional de protección frente a intentos de secuestro de cuentas.
También aconsejan guardar los códigos de recuperación proporcionados por la plataforma en un lugar seguro y revisar periódicamente los dispositivos con acceso autorizado al perfil.
Otra medida recomendada consiste en utilizar la función de comprobación de seguridad disponible en el Centro de cuentas de Meta para verificar que el correo electrónico, el número telefónico y los métodos de autenticación continúan siendo correctos.
La relevancia de este incidente trasciende a Instagram. El caso evidencia cómo una vulnerabilidad en sistemas impulsados por inteligencia artificial puede convertirse en un vector de riesgo incluso cuando la infraestructura principal permanece protegida.
La creciente integración de asistentes automatizados en plataformas digitales obliga a las empresas tecnológicas a reforzar los controles de seguridad en cada punto de interacción con el usuario. Este episodio podría impulsar nuevas revisiones de los sistemas de soporte basados en IA utilizados por compañías de todo el mundo.
“El problema ha sido ya solventado y estamos protegiendo las cuentas afectadas”, señaló Meta en su declaración oficial.
Aunque Meta asegura que la vulnerabilidad fue corregida y que no existió una brecha en sus sistemas centrales, el incidente representa una advertencia sobre los riesgos asociados a la automatización de funciones críticas mediante inteligencia artificial. Las investigaciones sobre el alcance real del ataque continúan mientras expertos y empresas tecnológicas evalúan nuevas medidas para fortalecer la seguridad de las plataformas digitales.