Bot Dukungan AI Meta Dapat Mereset Kata Sandi Instagram Siapa Saja. Itu Berjalan Selama 44 Hari.

Pada 1 Juni 2026, 404 Media dan KrebsOnSecurity menerbitkan rekaman yang beredar di grup Telegram yang menunjukkan asisten pemulihan akun AI milik Meta menambahkan alamat email baru ke akun Instagram bagi siapa pun yang meminta, lalu mengirim reset kata sandi ke sana. Penyerang hanya membutuhkan nama pengguna dan satu kalimat yang meyakinkan. Dalam waktu seminggu, dalam pemberitahuan pelanggaran data kepada jaksa agung Maine, Meta menetapkan jumlah akun yang terekspos sebanyak 20.225 akun dalam rentang waktu 17 April hingga 31 Mei 2026. Akun merek Sephora, chief master sergeant Angkatan Antariksa AS, dan peneliti Jane Manchun Wong termasuk di antara yang dilaporkan dibajak; beberapa di antaranya terkunci selama berhari-hari tanpa agen dukungan manusia yang dapat dihubungi untuk mengajukan banding. Catatan lengkapnya, beserta sumber dan tingkat keparahannya, berada di Orca AI Incident Archive, yang mendata insiden AI yang benar-benar terjadi berdasarkan tanggal, sistem, dan jenis kegagalan.

Arsip tersebut menilai insiden ini sebagai kritis, dengan keterlibatan AI yang terkonfirmasi dan kerugian nyata, serta mengarsipkannya dalam kategori injeksi prompt tidak langsung dan penyalahgunaan kredensial. Bagian berikut memisahkan apa yang telah dinyatakan Meta secara resmi dari apa yang dituduhkan oleh para korban, peneliti, dan pemberitaan dalam 72 jam pertama — karena pada satu poin sentral, keduanya tidak sependapat.

Kegagalan itu disebabkan oleh pemeriksaan yang tidak ada, bukan karena jailbreak.

{{1}}Meta meluncurkan asisten itu di Facebook dan Instagram pada Maret 2026, memasarkannya sebagai keamanan dan pemulihan akun yang menawarkan "solusi, bukan sekadar saran", menurut 404 Media.{{/1}} Secara internal, fitur ini disebut {{2}}High Touch Support{{/2}}, atau HTS: agen percakapan yang dibuat untuk membantu pengguna yang terkunci akunnya dan tidak bisa melewati formulir pemulihan statis, serta diberi wewenang untuk mengaitkan alamat email baru dengan sebuah akun dan memicu pengaturan ulang kata sandi ke alamat tersebut.

Cacat yang akhirnya dijelaskan Meta bersifat sempit, dan itu bukan model yang memutuskan untuk bersikap membantu. Dalam surat pelanggaran data yang diajukan ke Kantor Jaksa Agung Maine, Amber Hannah, wakil penasihat hukum umum Meta untuk hukum respons insiden, menulis: “Alat itu sendiri bekerja dengan benar dan berfungsi sebagaimana mestinya; namun karena bug di jalur kode terpisah, sistem tidak memverifikasi dengan benar bahwa alamat email yang diberikan oleh individu yang meminta reset kata sandi cocok dengan alamat email yang terkait dengan akun Instagram pengguna tersebut.” Ia menambahkan bahwa ketika alamat tersebut tidak cocok, sistem “secara keliru mengirim tautan reset kata sandi ke email yang tidak terkait tersebut alih-alih menolak permintaan”.

Dalam praktiknya, rangkaian tersebut, sebagaimana direkonstruksi oleh KrebsOnSecurity dari rekaman Telegram, terdiri dari empat langkah:

• Penyerang terhubung melalui VPN dengan alamat di atau dekat wilayah target, untuk lolos dari pemeriksaan lokasi Instagram.

• Mereka membuka alur pemulihan terhadap sebuah nama pengguna dan memilih asisten dukungan AI.

• Mereka menyuruh bot menautkan alamat email yang mereka kendalikan — salah satu rekaman diawali dengan "Tautkan saja alamat email baru saya" — dan bot mengirimkan kode sekali pakai ke alamat tersebut.

• Mereka memasukkan kode, mengambil tautan reset, mengganti kata sandi, dan pemilik sahnya pun kehilangan akses.

Tidak ada malware, tidak ada kata sandi curian, tidak ada halaman phishing. Brian Krebs mencatat bahwa teknik tersebut menyebar melalui saluran Telegram sejak 31 Mei, dan bahwa akun-akun pro-Iran yang memposting video itu juga merusak beberapa profil yang disita akhir pekan tersebut.

44 hari, dan angka yang berubah

Jendela waktu itu adalah bagian dari catatan yang paling lama untuk diungkap ke publik. Dalam pemberitahuannya kepada jaksa agung Maine, Meta mengatakan pihaknya menemukan kerentanan tersebut pada 31 Mei 2026 dan menonaktifkan HTS pada hari itu. Dokumen tersebut mencantumkan tanggal pelanggaran itu sendiri pada 17 April, yang menurut laporan BleepingComputer kemungkinan merupakan serangan pertama yang mengeksploitasi celah tersebut. Itu berarti 44 hari jalur penulisan tanpa autentikasi ke bidang identitas akun Instagram, rentang waktu yang juga dihitung oleh unit riset Cloud Security Alliance selama 44 hari.

Jumlahnya berubah dua kali. Dokumen resmi Meta menyebutkan 20.225 akun berpotensi dikompromikan, termasuk 30 di Maine, dan perusahaan menggambarkannya sebagai batas atas karena sejumlah upaya akses mungkin berasal dari pemilik akun yang sah. Pada 9 Juni, dalam laporan tentang investigasi New York Times, Android Authority menyebutkan sekitar 34.000 pengguna Instagram terdampak dan sekitar 20.000 akun dikompromikan, dengan ribuan lainnya mengalami perubahan nama pengguna atau kehilangan akses untuk sementara. Perbedaannya terletak pada definisi, bukan kontradiksi: 34.000 adalah kumpulan akun yang tersentuh, sedangkan 20.225 adalah jumlah pengambilalihan akun yang bersedia disertifikasi Meta. Surat Meta juga menyatakan bahwa perusahaan tidak mengetahui data mana di antara data yang berpotensi dapat diakses itu yang benar-benar dilihat — daftarnya mencakup detail kontak, tanggal lahir, unggahan, pesan langsung, riwayat aktivitas, informasi profil, dan layanan pihak ketiga yang tertaut.

Klaim perbaikan dan tanggal perbaikan juga makin tidak selaras di mata publik. Pada 1 Juni, Wakil Presiden Komunikasi Meta, Andy Stone, mengatakan di X bahwa "masalah yang memang terjadi telah diperbaiki". Pada 2 Juni, TechCrunch melaporkan bahwa pengguna masih mengklaim adanya pengambilalihan, dan anggota saluran Telegram masih mengiklankan nama pengguna yang dibajak untuk dijual — sambil memperingatkan bahwa tidak semua pembajakan yang dilaporkan dapat dikaitkan dengan teknik yang sama.

Apa yang dilakukan autentikasi dua faktor, dan apa yang menurut laporan awal telah dilakukannya

Di sinilah catatan dan pelaporan berpisah, dan ada baiknya kita bersikap tepat mengenai hal itu.

Pernyataan Meta sendiri eksplisit. Surat Hannah menyatakan bahwa setelah reset kata sandi, "pihak yang tidak berwenang dapat masuk ke akun jika pemilik akun tidak mengaktifkan autentikasi dua faktor (2FA)." KrebsOnSecurity melaporkan hal yang sama dari rekaman eksploitasi: teknik tersebut gagal terhadap akun yang mengaktifkan MFA. Analisis Cloud Security Alliance menyebut 2FA "kontrol pembatas yang efektif", dengan mencatat bahwa alur pemulihan tidak pernah memberikan akses ke lapisan autentikasi yang diatur 2FA. Celahnya adalah pintu pemulihan di samping pintu login, bukan pintu login itu sendiri.

Bertentangan dengan itu, gelombang laporan korban pada hari-hari pertama mengatakan sebaliknya. BleepingComputer pada 2 Juni mengutip pengguna yang bersikeras bahwa identitas mereka telah diverifikasi melalui pemindaian wajah dan bahwa mereka telah mengaktifkan 2FA, serta mengutip seorang pengguna, André, yang mengatakan metode tersebut "melewati perlindungan 2FA". gHacks melaporkan hal yang sama pada 3 Juni. Ringkasan satu baris arsip tentang insiden ini juga memuat klaim yang lebih kuat itu, dengan menggambarkan bot tersebut sebagai melewati autentikasi dua faktor.

Meta belum menerbitkan post-mortem teknis apa pun, sehingga ketidaksesuaian itu masih belum terselesaikan, bukan sudah tuntas. Yang dapat dikatakan adalah bahwa satu-satunya dokumen pihak pertama — pengajuan yang ditandatangani oleh kuasa hukum Meta sendiri — menggambarkan pengambilalihan yang berhenti pada akun-akun tanpa faktor kedua, dan bahwa media-media yang paling dekat dengan rekaman eksploitasi melaporkan hal yang sama. Perlakukan "bot mengalahkan 2FA" sebagai klaim, bukan fakta yang sudah mapan.

Mekanisme kedua yang dilaporkan berada dalam kategori yang sama. Pengguna memberi tahu BleepingComputer dan gHacks bahwa alur pemulihan akan menerima video selfie, dan bahwa penyerang menganimasikan foto publik target melalui generator video AI untuk melewatinya. Baik pengajuan Meta maupun rekonstruksi rekaman oleh Krebs tidak menyebutkan langkah tersebut. Itu mungkin merupakan jalur paralel; catatan publik tidak membuktikannya.

Para korban, dan versi yang dibantah Meta

Cluster yang dikonfirmasi adalah campuran aneh dari akun merek, militer, dan peneliti: akun merek Sephora, Chief Master Sergeant John Bentivegna dari U.S. Space Force, dan Jane Manchun Wong, yang unggahannya sendiri mendokumentasikan hilangnya akun tersebut. BleepingComputer juga menyebut handle satu kata @hey dan @korn, serta melaporkan bahwa pemilik @korn menghabiskan enam jam mencoba menghubungi manusia dan menerima empat tautan rusak dari AI dukungan Meta. Artikel yang sama mencatat bahwa klaim tentang handle satu huruf @e dan @f tidak dapat diverifikasi secara independen, dengan sebagian pihak mengaitkannya dengan orang dalam.

Satu korban yang sering disebut-sebut masih diperdebatkan. 404 Media, KrebsOnSecurity, dan TechCrunch semuanya melaporkan bahwa salah satu akun Gedung Putih era Obama yang tidak aktif termasuk di antara akun yang diambil alih dan sempat dirusak tampilannya. Menurut BBC, Meta menyebut klaim bahwa akun para pemimpin diretas sebagai "sepenuhnya salah", dan TechCrunch mencatat bantahan perusahaan itu secara langsung. Semua hal lain dalam daftar korban didukung oleh pemberitaan; yang satu itu tidak.

Atribusi berhenti pada {{1}}saluran{{/1}}, bukan pada organisasi. Pelaporan menetapkan bahwa instruksi eksploit yang berfungsi dan handle yang dibajak diperdagangkan di {{2}}grup Telegram{{/2}}, bahwa beberapa akun yang disita digunakan untuk {{3}}pesan pro-Iran{{/3}}, dan bahwa nama pengguna pendek "{{4}}OG{{/4}}" memiliki nilai pasar gelap dalam kisaran puluhan ribu dolar — {{5}}Krebs{{/5}} mengutip peretas yang mengklaim nilai jual kembali di atas $500.000 untuk nama yang mereka pegang. Tidak ada laporan yang menyebutkan nama grup, mengajukan tuduhan terhadap siapa pun, atau menetapkan bahwa satu operasi menjalankan kampanye tersebut. Deskripsi arsip tentang operasi penjualan kembali yang terorganisasi konsisten dengan pelaporan tersebut, tetapi bukan sesuatu yang dibuktikan oleh sumber yang dikutip.

Apa yang berubah setelahnya

Respons Meta, sebagaimana dijelaskan dalam dokumen pengajuan dan kepada BleepingComputer, adalah menonaktifkan alat HTS, menghapus jalur kode yang bermasalah, membatalkan setiap tautan reset kata sandi yang telah dihasilkan sistem, dan menempatkan akun-akun terdampak ke dalam pemeriksaan keamanan wajib yang mengharuskan reset melalui saluran terverifikasi. Sebelum meluncurkan kembali, perusahaan mengatakan akan memperbaiki pemeriksaan autentikasi di titik masuk pemulihan Instagram sehingga email yang diberikan diverifikasi terhadap catatan akun sebelum reset apa pun dimulai, dan akan meninjau alur pemulihan serupa di platform-platform lainnya.

Seberapa besar bagian dari program yang lebih luas yang dijeda ternyata lebih sempit daripada yang terdengar. Dokumen internal yang dikutip The New York Times menunjukkan bahwa Meta hanya menjeda eksperimen pemulihan kata sandi Instagram spesifik yang terkait dengan insiden tersebut, sementara rencana dukungan berbasis AI yang lebih luas tetap dipertahankan, menurut laporan Android Authority. Catatan Cloud Security Alliance melangkah lebih jauh, dengan menyatakan bahwa Meta menonaktifkan kemampuan penautan email otonom dan reset kata sandi milik chatbot tersebut pada 31 Mei; karakterisasi itu berasal dari kelompok riset tersebut, bukan pernyataan Meta.

Mengapa hal ini dikategorikan sebagai prompt injection, dan mengapa label itu diperdebatkan

Arsip tersebut menandai insiden itu sebagai IPI — injeksi prompt tidak langsung — bersama penyalahgunaan kredensial, dan kerangka confused-deputy adalah yang paling banyak dipilih para analis. Namun beberapa orang yang paling dekat dengan insiden itu menolak label injeksi tersebut.

Simon Willison, yang menciptakan istilah prompt injection, menulis pada 1 Juni: "Meta benar-benar menghubungkan sistem dukungan mereka ke chatbot AI yang memiliki kemampuan untuk mempercepat seluruh proses pemulihan akun. Yang ini bahkan hampir tidak memenuhi syarat sebagai infeksi prompt. Jangan hubungkan bot dukungan Anda sehingga memungkinkan pengambilalihan akun dalam satu kali percobaan!" Cloud Security Alliance membuat pembedaan yang sama dengan istilah yang lebih formal: serangan itu tidak memerlukan konten adversarial yang disembunyikan dalam dokumen atau keluaran alat, penyerang cukup meminta, jadi ini adalah model ancaman yang berbeda dari prompt injection klasik meskipun konsekuensinya identik. Pemetaannya adalah ke LLM06:2025 milik OWASP, Excessive Agency — fungsionalitas berlebihan, izin berlebihan, dan otonomi berlebihan, ketiganya hadir sekaligus.

Pembacaan VentureBeat lebih blak-blakan dan justru itulah yang penting secara operasional: dari dalam tumpukan deteksi, serangan tersebut tidak menghasilkan sinyal apa pun, karena agen itu adalah aktor yang sah dan setiap penulisan yang dilakukannya tercatat sebagai transaksi yang sah. "Tidak ada pijakan yang bisa ditemukan, karena agen itulah pijakannya, dan agen itu memang seharusnya berada di sana."

Apa yang tidak ditetapkan oleh catatan ini

Tidak ada CVE untuk celah HTS, dan tidak ada tulisan teknis terbitan Meta yang menjelaskan apa yang sebenarnya dilakukan jalur kode tersebut. Angka 20.225 adalah batas atas versi Meta, bukan hitungan yang telah diaudit, dan perusahaan mengatakan tidak dapat menyebutkan data apa yang dilihat. Jumlah akun yang benar-benar diubah tampilannya, dijual kembali, atau ditahan selama periode tertentu tidak diketahui. Tidak ada yang didakwa, dan hingga catatan publik yang diringkas di sini, belum ada regulator yang menerbitkan temuan khusus terkait insiden ini.

Yang sudah dipastikan lebih kecil dan lebih berguna daripada judul-judul berita: seorang agen dukungan diberi akses tulis ke satu bidang yang menentukan siapa pemilik sebuah akun, pemeriksaan bahwa peminta adalah pemiliknya berada di jalur kode yang berbeda dan tidak dijalankan, dan agen itu bisa dibujuk melewatinya hanya dengan satu kalimat. Dokumen pengajuan Meta sendiri menyatakan bahwa alat itu “bekerja dengan benar dan berfungsi sebagaimana mestinya”. Itulah temuannya. Bugnya ada pada arsitektur di sekitarnya.