בוט התמיכה מבוסס הבינה המלאכותית של מטא יכול היה לאפס את הסיסמה של כל משתמש באינסטגרם. הוא פעל במשך 44 ימים.

ב-1 ביוני 2026, 404 Media ו-KrebsOnSecurity פרסמו הקלטות שהופצו בקבוצות Telegram, שהראו את עוזר שחזור החשבון מבוסס AI של Meta מצרף כתובת דוא"ל חדשה לחשבון Instagram לכל מי שביקש, ואז שולח לשם קישור לאיפוס הסיסמה. התוקף נזקק לשם משתמש ולמשפט משכנע אחד. בתוך שבוע, בהודעת דיווח על פרצה לתובע הכללי של מיין, העריכה Meta את החשיפה ב-20,225 חשבונות בטווח שבין 17 באפריל ל-31 במאי 2026. חשבון המותג של Sephora, הרב-סמל הראשי של חיל החלל האמריקאי והחוקרת Jane Manchun Wong היו בין אלה שדווח כי נחטפו, וכמה מהם ננעלו מחוץ לחשבון במשך ימים בלי נציג תמיכה אנושי שאליו ניתן לפנות. התיעוד המלא, עם המקורות ודירוג החומרה שלו, נמצא ב־Orca AI Incident Archive, שמקטלג אירועי AI שהתרחשו בפועל לפי תאריך, מערכת וסוג כשל.

הארכיון מדרג את התקרית כקריטית, עם מעורבות מאושרת של AI ונזק ממשי, ומסווג אותה תחת הזרקת פרומפט עקיפה וניצול לרעה של פרטי גישה. להלן מופרד בין מה שמטא אמרה באופן רשמי לבין מה שנטען על ידי קורבנות, חוקרים ו-72 השעות הראשונות של הסיקור — משום שבנקודה מרכזית אחת השניים אינם מסכימים.

הכשל נבע מבדיקה חסרה, ולא מפריצת כלא.

Meta השיקה את העוזר ברחבי Facebook ו-Instagram במרץ 2026, ושיווקה אותו ככלי לאבטחת חשבון ושחזור שהציע "פתרונות, לא רק הצעות", לפי 404 Media. באופן פנימי הוא נקרא High Touch Support, או HTS: סוכן שיחתי שנבנה כדי לעזור למשתמשים שננעלו מחוץ לחשבון ולא הצליחו לעבור טפסי שחזור סטטיים, וניתנה לו הסמכות לשייך כתובת אימייל חדשה לחשבון ולהפעיל איפוס סיסמה לכתובת זו.

הפגם ש-Meta תיארה בסופו של דבר היה צר, והוא לא היה המודל שהחליט להיות מועיל. במכתב בנושא דליפת נתונים שהוגש ללשכת התובע הכללי של מיין, כתבה אמבר האנה, סגנית היועץ המשפטי הכללי של Meta לתגובה משפטית לאירועים: "הכלי עצמו פעל כראוי ותפקד כמתוכנן; אולם עקב באג בנתיב קוד נפרד, המערכת לא אימתה כראוי שכתובת האימייל שסיפק האדם שביקש איפוס סיסמה תואמת לכתובת האימייל המשויכת לחשבון ה-Instagram של אותו משתמש." היא הוסיפה שכאשר הכתובת לא תאמה, המערכת "שלחה בטעות קישור לאיפוס סיסמה לכתובת האימייל הלא-משויכת הזו במקום לדחות את הבקשה".

בפועל, הרצף — כפי ששוחזר על ידי KrebsOnSecurity מהקלטות של Telegram — היה ארבעה שלבים:

• התוקף התחבר דרך VPN עם כתובת באזור היעד או בסמוך לו, כדי לעבור את בדיקות המיקום של Instagram.

• הם פתחו את תהליך השחזור עבור שם משתמש ובחרו בעוזר התמיכה מבוסס ה-AI.

• הם הורו לבוט לקשר כתובת דוא״ל שהייתה בשליטתם — אחת ההקלטות נפתחה ב״פשוט קשר את כתובת הדוא״ל החדשה שלי״ — והבוט שלח אליה את הקוד החד־פעמי.

הם הזינו את הקוד, לקחו את קישור האיפוס, שינו את הסיסמה, והבעלים החוקי נותר בחוץ.

לא נוזקה, לא סיסמה גנובה, לא דף פישינג. בריאן קרבס ציין שהטכניקה התפשטה דרך ערוצי טלגרם החל מ-31 במאי, ושהחשבונות הפרו-איראניים שפרסמו את הסרטון גם השחיתו כמה מהפרופילים שנתפסו באותו סוף שבוע.

44 ימים, ומספר שזז

החלון הוא החלק בתיעוד שלקח הכי הרבה זמן להפוך לפומבי. בהתראה שלה לתובע הכללי של מיין, מסרה Meta כי גילתה את הפגיעות ב-31 במאי 2026 והשביתה את HTS באותו יום. ההגשה מתארכת את הפריצה עצמה ל-17 באפריל, שלדברי BleepingComputer היא ככל הנראה המתקפה הראשונה שניצלה את הפגם. מדובר ב-44 ימים של נתיב כתיבה לא מאומת לשדות זהות החשבון באינסטגרם, טווח שזרוע המחקר של Cloud Security Alliance גם היא מעריכה כ-44 ימים.

המניין השתנה פעמיים. בהגשה של Meta נאמר כי 20,225 חשבונות עלולים היו להיפגע, כולל 30 במיין, והחברה מתארת זאת כגבול עליון משום שייתכן שחלק מניסיונות הגישה הגיעו מבעלי חשבונות לגיטימיים. ב-9 ביוני, בדיווח על תחקיר של New York Times, אמר Android Authority כי כ-34,000 משתמשי Instagram נפגעו וכ-20,000 חשבונות נפרצו, כאשר אלפים נוספים עברו שינוי בשמות המשתמש או איבדו גישה באופן זמני. ההבדל הוא הגדרה, לא סתירה: 34,000 הוא מאגר החשבונות שנגעו בהם, ו-20,225 הוא מספר ההשתלטויות ש-Meta הייתה מוכנה לאשר. במכתב של Meta נאמר גם כי החברה אינה יודעת איזה מהנתונים שעלולים היו להיות נגישים אכן נצפו — הרשימה כוללת פרטי קשר, תאריכי לידה, פוסטים, הודעות ישירות, היסטוריית פעילות, פרטי פרופיל ושירותי צד שלישי מקושרים.

גם הטענות על התיקון ומועדי התיקון התרחקו זו מזו בפומבי. ב-1 ביוני, אנדי סטון, סגן נשיא התקשורת של Meta, אמר ב-X ש"הבעיה שאכן קרתה כבר תוקנה". ב-2 ביוני, TechCrunch דיווח שמשתמשים עדיין טוענים שאירעו השתלטויות על חשבונות, ושחברי ערוץ Telegram עדיין מפרסמים למכירה שמות משתמש שנחטפו — תוך אזהרה שלא כל חטיפה שדווחה יכולה להיות קשורה לאותה טכניקה.

מה אימות דו-גורמי עשה, ומה דיווחים מוקדמים אמרו שהוא עשה

כאן נפרדות הדרכים של הרשומה ושל הדיווח, וכדאי להיות מדויקים בנקודה זו.

הגרסה של Meta עצמה מפורשת. במכתבה של האנה כתוב שלאחר איפוס הסיסמה, "הגורם הלא מורשה הצליח להתחבר לחשבון אם בעל החשבון לא הפעיל אימות דו-שלבי (2FA)." KrebsOnSecurity דיווח על אותו דבר מהקלטות הניצול: הטכניקה נכשלה בחשבונות עם MFA מופעל. הניתוח של Cloud Security Alliance כינה את 2FA "בקרת ההגבלה האפקטיבית", וציין שזרימת השחזור מעולם לא העניקה גישה לשכבת האימות ש-2FA שולטת בה. הפרצה הייתה דלת השחזור שליד דלת הכניסה, לא דלת הכניסה עצמה.

לעומת זאת, גל של דיווחי קורבנות בימים הראשונים אמר את ההיפך. BleepingComputer ציטט ב-2 ביוני משתמשים שהתעקשו שזהויותיהם אומתו באמצעות סריקת פנים ושה-2FA שלהם היה מופעל, וציטט משתמש אחד, André, שאמר שהשיטה "עוקפת את הגנות ה-2FA". gHacks דיווח אותו דבר ב-3 ביוני. התקציר בן השורה של הארכיון לאירוע הזה נושא גם הוא את הטענה החזקה יותר, ומתאר את הבוט כעוקף אימות דו-שלבי.

מטא לא פרסמה ניתוח טכני בדיעבד, ולכן הפער נותר בלתי פתור ולא מוכרע. מה שאפשר לומר הוא שהמסמך היחיד ממקור ראשון — ההגשה החתומה בידי היועץ המשפטי של מטא עצמה — מתאר השתלטות שנעצרה בחשבונות ללא גורם אימות שני, ושאותם כלי תקשורת הקרובים ביותר להקלטות הניצול דיווחו את אותו הדבר. יש להתייחס ל"הבוט עקף אימות דו-שלבי" כאל טענה, ולא כעובדה מבוססת.

מנגנון שני שדווח נמצא באותה קטגוריה. משתמשים סיפרו ל-BleepingComputer ול-gHacks שזרימת השחזור תקבל סרטון סלפי, ושהתוקפים הנפישו תמונה פומבית של המטרה באמצעות מחולל וידאו מבוסס AI כדי לעבור אותה. לא המסמך שהגישה Meta ולא השחזור של Krebs את ההקלטות מזכירים את השלב הזה. ייתכן שזה היה מסלול מקביל; התיעוד הציבורי אינו מבסס זאת.

הקורבנות, והגרסה שמטא חולקת עליה

האשכול המאומת הוא שילוב מוזר של חשבונות מותג, צבא ומחקר: חשבון המותג של ספורה, הצ'יף מאסטר סרג'נט ג'ון בנטיבנייה מכוח החלל האמריקאי, וג'יין מנצ'ון וונג, שפוסטים שלה תיעדו את אובדן החשבון. BleepingComputer גם ציין את שמות המשתמש בני המילה האחת @hey ו-@korn, ודיווח שבעל @korn בילה שש שעות בניסיון להגיע לבן אדם וקיבל ארבעה קישורים שבורים מה-AI לתמיכה של Meta. באותו מאמר צוין כי לא ניתן היה לאמת באופן עצמאי טענות לגבי שמות המשתמש בני האות האחת @e ו-@f, כאשר יש שייחסו אותם במקום זאת לאדם פנימי.

קורבן אחד שדווח עליו שוב ושוב שנוי במחלוקת. 404 Media, ‏KrebsOnSecurity ו-TechCrunch דיווחו כולם כי חשבון רדום של הבית הלבן של אובמה היה בין אלה שנתפסו והושחתו לזמן קצר. מטא כינתה את הטענות שלפיהן חשבונות של מנהיגים נפרצו "שקריות לחלוטין", לפי ה-BBC, ו-TechCrunch תיעד ישירות את הכחשת החברה. כל השאר ברשימת הקורבנות נשען על הדיווח; המקרה הזה לא.

ייחוס נעצר ברמת הערוץ, לא ברמת ארגון. הדיווחים קובעים שהוראות ניצול פעילות וכינויים שנחטפו נסחרו בקבוצות Telegram, שכמה חשבונות שהוחרמו שימשו להעברת מסרים פרו-איראניים, וששמות משתמש קצרים מסוג "OG" נושאים ערך בשוק האפור של עשרות אלפי דולרים — Krebs ציטט האקרים שטענו לערך מכירה חוזרת של יותר מ-500,000 דולר עבור השמות שברשותם. אף דוח לא נוקב בשם של קבוצה, לא מאשים איש, ולא קובע שמבצע יחיד הפעיל את הקמפיין. תיאור הארכיון של מבצע מכירה חוזרת מאורגן תואם את הדיווחים, אך אינו דבר שהמקורות המצוטטים מוכיחים.

מה השתנה לאחר מכן

תגובתה של Meta, כפי שתוארה במסמך שהוגש ול-BleepingComputer, הייתה להשבית את כלי HTS, להסיר את מסלול הקוד הפגום, לבטל את תוקפם של כל קישורי איפוס הסיסמה שהמערכת יצרה, ולהכניס חשבונות מושפעים לנקודת בידוק אבטחה מחייבת שדורשת איפוס דרך ערוצים מאומתים. לפני ההשקה מחדש, החברה מסרה כי תתקן את בדיקת האימות בנקודת הכניסה לשחזור חשבון Instagram כך שכתובת דוא״ל שסופקה תאומת מול רשומות החשבון לפני שיופעל איפוס כלשהו, וכי תבחן זרימות שחזור דומות בפלטפורמות האחרות שלה.

המידה שבה הושהתה התוכנית הרחבה יותר צרה מכפי שזה נשמע. מסמכים פנימיים שצוטטו ב-New York Times הצביעו על כך ש-Meta השהתה רק את ניסוי שחזור הסיסמה הספציפי ב-Instagram הקשור לתקרית, בעוד תוכניות תמיכה רחבות יותר מבוססות בינה מלאכותית נותרו על כנן, כך דיווח Android Authority. ההערה של Cloud Security Alliance מרחיקה לכת וקובעת כי Meta השביתה ב-31 במאי את היכולות האוטונומיות של הצ׳אטבוט לשיוך דוא״ל ולאיפוס סיסמאות; אפיון זה הוא של קבוצת המחקר, ולא הצהרה מטעם Meta.

מדוע זה מסווג תחת הזרקת פרומפט, ומדוע התווית הזו שנויה במחלוקת

הארכיון מתייג את התקרית כ־IPI — הזרקת פרומפט עקיפה — לצד ניצול לרעה של אישורי גישה, ומסגור ה"סגן המבולבל" הוא זה שרוב האנליסטים פנו אליו. אך כמה מהאנשים הקרובים ביותר לפרשה מתנגדים לתווית ההזרקה.

סיימון וויליסון, שטבע את המונח הזרקת פרומפט, כתב ב-1 ביוני: "מטא באמת חיברה את מערכת התמיכה שלהם לצ'אטבוט בינה מלאכותית שהייתה לו היכולת לדלג קדימה על פני כל תהליך שחזור החשבון. זה בקושי אפילו עומד בקריטריונים של זיהום פרומפט. אל תחברו את בוט התמיכה שלכם כך שיאפשר השתלטות על חשבון בניסיון אחד!" ‏Cloud Security Alliance הציגה את אותה הבחנה במונחים רשמיים יותר: התקיפה לא חייבה תוכן עוין שהוסתר במסמך או בפלט של כלי, התוקף פשוט ביקש, ולכן זהו מודל איום שונה מהזרקת פרומפט קלאסית למרות שהתוצאה זהה. המיפוי שלה הוא ל-OWASP LLM06:2025, Excessive Agency — פונקציונליות יתר, הרשאות יתר ואוטונומיה יתר, שלושתן נוכחות בו-זמנית.

הקריאה של VentureBeat הייתה בוטה יותר, והיא זו שחשובה מבחינה תפעולית: מבפנים למערך זיהוי, המתקפה לא הפיקה שום אות כלל, מפני שהסוכן היה גורם מורשה, וכל כתיבה שביצע נרשמה ביומן כעסקה לגיטימית. "אין נקודת אחיזה למצוא, מפני שהסוכן היה נקודת האחיזה, והוא היה אמור להיות שם."

מה שהרשומה הזו אינה קובעת

אין CVE עבור הפגם ב-HTS, ואין דוח טכני שפרסמה Meta המתאר מה נתיב הקוד למעשה עשה. הנתון 20,225 הוא הגבול העליון של Meta, ולא ספירה מבוקרת, והחברה אומרת שאינה יכולה לומר אילו נתונים נצפו. מספר החשבונות שלמעשה הושחתו, נמכרו מחדש או הוחזקו למשך זמן כלשהו אינו ידוע. איש לא הואשם, ואף רגולטור לא פרסם, נכון לרשומה הציבורית המסוכמת כאן, ממצאים ספציפיים לאירוע הזה.

מה שנקבע הוא קטן יותר ושימושי יותר מהכותרות: סוכן תמיכה קיבל הרשאת כתיבה לשדה היחיד שקובע למי שייך חשבון, הבדיקה שהמבקש הוא הבעלים שלו התקיימה בנתיב קוד אחר ולא הורצה, ואפשר היה לשכנע את הסוכן לעקוף אותה במשפט אחד. הדיווח של Meta עצמה אומר שהכלי "עבד כראוי ותפקד כמתוכנן". זהו הממצא. הבאג היה בארכיטקטורה שסביבו.