El bot de soporte con IA de Meta podía restablecer la contraseña de Instagram de cualquiera. Estuvo activo durante 44 días.

El 1 de junio de 2026, 404 Media y KrebsOnSecurity publicaron grabaciones que circulaban en grupos de Telegram y que mostraban al asistente de recuperación de cuentas de IA de Meta añadiendo una nueva dirección de correo electrónico a una cuenta de Instagram a cualquiera que se lo pidiera, para luego enviar allí el restablecimiento de contraseña. Al atacante le bastaba con un nombre de usuario y una frase convincente. En el plazo de una semana, en una notificación de brecha de seguridad al fiscal general de Maine, Meta cifró la exposición en 20.225 cuentas dentro de un periodo comprendido entre el 17 de abril y el 31 de mayo de 2026. Entre las cuentas que se reportaron como secuestradas figuraban la cuenta de marca de Sephora, el sargento mayor jefe de la Fuerza Espacial de EE. UU. y la investigadora Jane Manchun Wong; varias de ellas quedaron bloqueadas durante días sin ningún agente de soporte humano al que apelar. El registro completo, con sus fuentes y su clasificación de gravedad, se encuentra en el Orca AI Incident Archive, que cataloga los incidentes de IA materializados por fecha, sistema y tipo de fallo.

El archivo califica el incidente como crítico, con participación confirmada de IA y daño real, y lo clasifica bajo inyección indirecta de prompts y abuso de credenciales. Lo que sigue separa lo que Meta ha dicho públicamente de lo que alegaron las víctimas, los investigadores y las primeras 72 horas de cobertura — porque en un punto central, ambas versiones no coinciden.

El fallo fue una comprobación faltante, no un jailbreak

Meta lanzó el asistente en Facebook e Instagram en marzo de 2026, promocionándolo como seguridad y recuperación de cuentas que ofrecía "soluciones, no solo sugerencias", según 404 Media. Internamente se llamaba High Touch Support, o HTS: un agente conversacional creado para ayudar a usuarios bloqueados que no podían completar los formularios estáticos de recuperación, y al que se le dio la autoridad de asociar una nueva dirección de correo electrónico a una cuenta y de activar un restablecimiento de contraseña a esa dirección.

El defecto que Meta finalmente describió era limitado, y no consistía en que el modelo decidiera ser útil. En una carta de notificación de violación de datos presentada ante la Oficina del Fiscal General de Maine, Amber Hannah, abogada general adjunta del área legal de respuesta a incidentes de Meta, escribió: "La herramienta en sí funcionaba correctamente y operaba según lo previsto; sin embargo, debido a un error en una ruta de código separada, el sistema no verificaba correctamente que la dirección de correo electrónico proporcionada por la persona que solicitaba un restablecimiento de contraseña coincidiera con la dirección de correo electrónico asociada a la cuenta de Instagram de ese usuario". Añadió que, cuando la dirección no coincidía, el sistema "enviaba incorrectamente un enlace de restablecimiento de contraseña a ese correo electrónico no asociado, en lugar de rechazar la solicitud".

En la práctica, la secuencia, tal como la reconstruyó KrebsOnSecurity a partir de las grabaciones de Telegram, constaba de cuatro pasos:

• El atacante se conectó a través de una VPN con una dirección en la región del objetivo o cerca de ella, para eludir las comprobaciones de ubicación de Instagram.

• Abrieron el flujo de recuperación contra un nombre de usuario y seleccionaron el asistente de soporte con IA.

• Le dijeron al bot que vinculara una dirección de correo electrónico que controlaban —una grabación comenzaba «Solo vincula mi nueva dirección de correo electrónico»— y el bot envió el código de un solo uso a esa dirección.

• Introdujeron el código, tomaron el enlace de restablecimiento, cambiaron la contraseña y el propietario legítimo quedó fuera.

Ni malware, ni contraseñas robadas, ni páginas de phishing. Brian Krebs señaló que la técnica se difundió por canales de Telegram desde el 31 de mayo, y que las cuentas proiraníes que publicaron el video también alteraron algunos de los perfiles incautados ese fin de semana.

44 días, y un número que se movió

La ventana es la parte del expediente que más tardó en hacerse pública. En su notificación al fiscal general de Maine, Meta dijo que descubrió la vulnerabilidad el 31 de mayo de 2026 y que deshabilitó HTS ese mismo día. El escrito fecha la brecha en sí el 17 de abril, que, según informó BleepingComputer, es probablemente el primer ataque que explotó la falla. Eso supone 44 días de una ruta de escritura no autenticada hacia los campos de identidad de cuenta de Instagram, un periodo que el brazo de investigación de Cloud Security Alliance también cifra en 44 días.

El recuento cambió dos veces. La presentación de Meta dice que 20.225 cuentas podrían haberse visto comprometidas, incluidas 30 en Maine, y la empresa describe esa cifra como un límite superior porque algunos intentos de acceso podrían haber provenido de titulares legítimos de cuentas. El 9 de junio, al informar sobre una investigación de The New York Times, Android Authority dijo que aproximadamente 34.000 usuarios de Instagram se vieron afectados y cerca de 20.000 cuentas quedaron comprometidas, y que miles más tuvieron sus nombres de usuario cambiados o perdieron el acceso temporalmente. La diferencia es una cuestión de definición, no una contradicción: 34.000 es el conjunto de cuentas afectadas; 20.225 es el recuento de apropiaciones que Meta estaba dispuesta a certificar. La carta de Meta también dice que la empresa no sabe cuáles de los datos potencialmente accesibles fueron realmente vistos — la lista abarca datos de contacto, fechas de nacimiento, publicaciones, mensajes directos, historial de actividad, información de perfil y servicios de terceros vinculados.

Las afirmaciones sobre la corrección y las fechas de corrección también se fueron distanciando en público. El 1 de junio, el vicepresidente de comunicaciones de Meta, Andy Stone, dijo en X que «el problema que sí ocurrió ya ha sido corregido». El 2 de junio, TechCrunch informó que los usuarios seguían denunciando tomas de control, y que miembros de canales de Telegram seguían anunciando identificadores secuestrados a la venta, aunque advirtió que no todas las usurpaciones denunciadas podían atribuirse a la misma técnica.

Qué hizo la autenticación de dos factores y qué dijeron los primeros informes que hizo

Aquí es donde el registro y la cobertura informativa se separan, y vale la pena ser preciso al respecto.

La versión de la propia Meta es explícita. La carta de Hannah dice que, tras el restablecimiento de la contraseña, «la parte no autorizada pudo iniciar sesión en la cuenta si el titular de la cuenta no había habilitado la autenticación de dos factores (2FA)». KrebsOnSecurity informó lo mismo a partir de las grabaciones del exploit: la técnica fallaba contra cuentas con MFA habilitado. El análisis de Cloud Security Alliance calificó 2FA como «el control limitante efectivo», y señaló que el flujo de recuperación nunca otorgó acceso a la capa de autenticación que gobierna 2FA. La brecha era la puerta de recuperación junto a la puerta de inicio de sesión, no la puerta de inicio de sesión en sí.

Frente a eso, una oleada de informes de víctimas en los primeros días decía lo contrario. BleepingComputer, el 2 de junio, citó a usuarios que insistían en que sus identidades habían sido verificadas mediante escaneo facial y que tenían habilitada la 2FA, y citó a un usuario, André, que dijo que el método "elude las protecciones de 2FA". gHacks informó lo mismo el 3 de junio. El resumen de una línea del archivo sobre este incidente también recoge esa afirmación más contundente, y describe al bot como capaz de eludir la autenticación de dos factores.

Meta no ha publicado ningún análisis técnico posterior, así que la discrepancia sigue sin resolverse en lugar de estar zanjada. Lo que sí puede decirse es que el único documento de primera mano —la presentación firmada por el propio abogado de Meta— describe una toma de control que se detuvo en las cuentas sin segundo factor, y que los medios más cercanos a las grabaciones del exploit informaron lo mismo. Trata «el bot derrotó el 2FA» como una afirmación, no como un hecho establecido.

Un segundo mecanismo reportado está en la misma categoría. Los usuarios dijeron a BleepingComputer y gHacks que el flujo de recuperación aceptaba un video selfie, y que los atacantes animaron una foto pública de la persona objetivo mediante un generador de video con IA para superarlo. Ni el escrito de Meta ni la reconstrucción que hizo Krebs de las grabaciones mencionan ese paso. Puede haber sido una vía paralela; el registro público no lo establece.

Las víctimas, y la versión que Meta cuestiona

El grupo confirmado es una extraña mezcla de cuentas de marcas, militares e investigadores: la cuenta de marca de Sephora, el sargento maestro jefe John Bentivegna de la Fuerza Espacial de EE. UU. y Jane Manchun Wong, cuyas propias publicaciones documentaron la pérdida de la cuenta. BleepingComputer también nombró los identificadores de una sola palabra @hey y @korn, e informó que el propietario de @korn pasó seis horas intentando comunicarse con una persona y recibió cuatro enlaces rotos de la IA de soporte de Meta. El mismo artículo señaló que las afirmaciones sobre los identificadores de una sola letra @e y @f no podían verificarse de forma independiente, y algunos las atribuían, en cambio, a una persona interna.

Una víctima que se repite ampliamente está en disputa. 404 Media, KrebsOnSecurity y TechCrunch informaron que una cuenta inactiva de la Casa Blanca de Obama estaba entre las que fueron tomadas y brevemente vandalizadas. Meta calificó de "completamente falsas" las afirmaciones de que las cuentas de los líderes fueron vulneradas, según la BBC, y TechCrunch registró directamente la réplica de la empresa. Todo lo demás en la lista de víctimas se basa en la cobertura periodística; ese caso no.

La atribución se detiene en el canal, no en una organización. Los reportes establecen que se intercambiaron instrucciones funcionales de explotación e identificadores de usuario secuestrados en grupos de Telegram, que algunas cuentas tomadas se usaron para mensajes proiraníes y que los nombres de usuario cortos "OG" tienen un valor en el mercado gris de decenas de miles de dólares; Krebs citó a hackers que afirmaban un valor de reventa superior a 500.000 dólares por los nombres que poseían. Ningún informe nombra a un grupo, acusa a nadie ni establece que una sola operación dirigiera la campaña. La descripción del archivo de una operación de reventa organizada es coherente con lo informado, pero no es algo que las fuentes citadas demuestren.

¿Qué cambió después?

La respuesta de Meta, tal como se describe en la presentación y a BleepingComputer, consistió en deshabilitar la herramienta HTS, eliminar la ruta de código defectuosa, invalidar todos los enlaces de restablecimiento de contraseña que el sistema había generado y colocar las cuentas afectadas en un punto de control de seguridad obligatorio que exigía un restablecimiento a través de canales verificados. Antes de volver a lanzarla, la empresa dijo que corregiría la comprobación de autenticación en el punto de entrada de recuperación de Instagram para que el correo electrónico proporcionado se verifique con los registros de la cuenta antes de que se inicie cualquier restablecimiento, y que revisaría flujos de recuperación similares en sus otras plataformas.

La magnitud de la pausa del programa más amplio es menor de lo que parece. Los documentos internos citados por The New York Times indicaban que Meta solo pausó el experimento específico de recuperación de contraseñas de Instagram vinculado al incidente, mientras mantenía en marcha planes de asistencia más amplios impulsados por IA, según informó Android Authority. La nota de Cloud Security Alliance va más allá y afirma que Meta desactivó el 31 de mayo las capacidades autónomas del chatbot para asociar correos electrónicos y restablecer contraseñas; esa caracterización es del grupo de investigación, no una declaración de Meta.

Por qué se clasifica como inyección de prompt y por qué esa etiqueta es controvertida

El archivo etiqueta el incidente IPI —inyección de prompt indirecta— junto con el abuso de credenciales, y el encuadre de «confused deputy» es el que más analistas adoptaron. Pero varias de las personas más cercanas al caso se resisten a la etiqueta de inyección.

Simon Willison, quien acuñó el término prompt injection, escribió el 1 de junio: "Meta realmente conectó su sistema de soporte a un chatbot de IA que tenía la capacidad de avanzar a toda velocidad por todo el proceso de recuperación de cuenta. Este caso apenas si califica como una infección por prompt. ¡No conectes tu bot de soporte de forma que permita tomas de control de cuentas en un solo paso!" La Cloud Security Alliance hizo la misma distinción en términos más formales: el ataque no requería contenido adversario oculto en un documento ni en la salida de una herramienta; el atacante simplemente lo pidió, así que se trata de un modelo de amenaza distinto al de la inyección de prompts clásica, aunque la consecuencia sea idéntica. Su correspondencia es con LLM06:2025 de OWASP, Excessive Agency — funcionalidad excesiva, permisos excesivos y autonomía excesiva, las tres presentes a la vez.

La lectura de VentureBeat fue más contundente y es la que importa operativamente: desde dentro de una pila de detección, el ataque no produjo ninguna señal en absoluto, porque el agente era un actor autorizado y cada escritura que realizaba se registraba como una transacción legítima. «No hay ningún punto de apoyo que encontrar, porque el agente era el punto de apoyo, y se suponía que debía estar ahí».

Lo que este registro no establece

No existe ningún CVE para el fallo de HTS, ni ningún análisis técnico publicado por Meta que describa qué hacía realmente la ruta de código. La cifra de 20.225 es el límite superior de Meta, no un recuento auditado, y la empresa afirma que no puede decir qué datos se consultaron. Se desconoce el número de cuentas que realmente fueron alteradas maliciosamente, revendidas o retenidas durante algún periodo de tiempo. Nadie ha sido acusado, y ningún regulador había publicado, según el registro público resumido aquí, hallazgos específicos sobre este incidente.

Lo que queda establecido es más pequeño y más útil que los titulares: a un agente de soporte se le concedió acceso de escritura al único campo que determina quién es propietario de una cuenta; la comprobación de que el solicitante fuera el propietario residía en una ruta de código distinta y no se ejecutó; y bastaba una frase para convencer al agente de pasarla por alto. El propio escrito de Meta afirma que la herramienta «funcionó correctamente y funcionó según lo previsto». Ese es el hallazgo. El error estaba en la arquitectura que la rodeaba.