Il bot di supporto AI di Meta poteva reimpostare la password di Instagram di chiunque. È rimasto attivo per 44 giorni.

Il 1° giugno 2026, 404 Media e KrebsOnSecurity hanno pubblicato registrazioni che circolavano in gruppi Telegram, le quali mostravano l'assistente AI di Meta per il recupero degli account collegare un nuovo indirizzo email a un account Instagram a chiunque lo richiedesse, per poi inviare lì il link di reimpostazione della password. All'attaccante bastavano un nome utente e una frase convincente. Nel giro di una settimana, in una notifica di violazione dei dati inviata al procuratore generale del Maine, Meta ha quantificato l'esposizione in 20.225 account in un intervallo compreso tra il 17 aprile e il 31 maggio 2026. L'account del marchio Sephora, il chief master sergeant della U.S. Space Force e la ricercatrice Jane Manchun Wong sono stati tra quelli segnalati come dirottati; diversi di loro sono rimasti bloccati per giorni senza alcun operatore di supporto umano a cui appellarsi. Il resoconto completo, con le sue fonti e la classificazione di gravità, è contenuto nell'Orca AI Incident Archive, che cataloga gli incidenti AI verificatisi per data, sistema e tipo di errore.

L'archivio classifica l'incidente come critico, con un coinvolgimento dell'IA confermato e danni reali, e lo archivia sotto iniezione indiretta di prompt e abuso di credenziali. Quanto segue separa ciò che Meta ha dichiarato ufficialmente da ciò che vittime, ricercatori e le prime 72 ore di copertura hanno asserito — perché su un punto centrale le due versioni non concordano.

Il problema era un controllo mancante, non un jailbreak

Meta ha esteso l'assistente a Facebook e Instagram a marzo 2026, promuovendolo come sicurezza e recupero dell'account che offriva "soluzioni, non solo suggerimenti", secondo 404 Media. Internamente era chiamato High Touch Support, o HTS: un agente conversazionale creato per aiutare gli utenti bloccati fuori che non riuscivano a completare i moduli di recupero statici, e dotato dell'autorità di associare un nuovo indirizzo email a un account e di avviare una reimpostazione della password per quell'indirizzo.

Il difetto che Meta finì per descrivere era circoscritto e non consisteva nel fatto che il modello decidesse di essere utile. In una lettera relativa a una violazione di dati presentata all'Ufficio del Procuratore Generale del Maine, Amber Hannah, consigliere generale associato per la funzione legale di risposta agli incidenti di Meta, scrisse: "Lo strumento in sé funzionava correttamente e si comportava come previsto; tuttavia, a causa di un bug in un percorso di codice separato, il sistema non verificava correttamente che l'indirizzo email fornito dalla persona che richiedeva la reimpostazione della password corrispondesse all'indirizzo email associato all'account Instagram di quell'utente." Aggiunse che, quando l'indirizzo non corrispondeva, il sistema "inviava erroneamente un link per la reimpostazione della password a quell'email non associata invece di rifiutare la richiesta".

In pratica la sequenza, come ricostruita da KrebsOnSecurity dalle registrazioni Telegram, era composta da quattro passaggi:

• L'aggressore si è connesso tramite una VPN con un indirizzo nella regione del bersaglio o nelle vicinanze, per aggirare i controlli di localizzazione di Instagram.

• Hanno avviato il flusso di recupero per un nome utente e selezionato l'assistente di supporto AI.

• Hanno detto al bot di collegare un indirizzo email che controllavano — una registrazione iniziava con «Collega semplicemente il mio nuovo indirizzo email» — e il bot ha inviato il codice monouso a quell'indirizzo.

• Hanno inserito il codice, preso il link di reimpostazione, cambiato la password e il legittimo proprietario è rimasto fuori.

Nessun malware, nessuna password rubata, nessuna pagina di phishing. Brian Krebs ha osservato che la tecnica si è diffusa attraverso i canali Telegram a partire dal 31 maggio, e che gli account filo-iraniani che hanno pubblicato il video hanno anche deturpato alcuni dei profili sequestrati quel fine settimana.

44 giorni, e un numero che si è mosso

La finestra è la parte del record che ha impiegato più tempo a diventare pubblica. Nella sua notifica al procuratore generale del Maine, Meta ha affermato di aver scoperto la vulnerabilità il 31 maggio 2026 e di aver disattivato HTS quel giorno. Il documento data la violazione stessa al 17 aprile, che, secondo quanto riportato da BleepingComputer, è probabilmente il primo attacco a sfruttare il difetto. Si tratta di 44 giorni di un percorso di scrittura non autenticato nei campi di identità dell'account di Instagram, un intervallo che anche il braccio di ricerca della Cloud Security Alliance stima in 44 giorni.

Il numero è cambiato due volte. Nel documento depositato da Meta si legge che 20.225 account sono stati potenzialmente compromessi, compresi 30 nel Maine, e l'azienda lo definisce un limite massimo perché alcuni tentativi di accesso potrebbero provenire da legittimi titolari degli account. Il 9 giugno, riportando un'inchiesta del New York Times, Android Authority ha affermato che circa 34.000 utenti Instagram sono stati interessati e circa 20.000 account compromessi, con altre migliaia a cui sono stati cambiati i nomi utente o che hanno perso temporaneamente l'accesso. La differenza è una questione di definizione, non una contraddizione: 34.000 è il bacino degli account toccati, 20.225 è il numero di account di cui è stato assunto il controllo che Meta era disposta a certificare. La lettera di Meta afferma inoltre che l'azienda non sa quali dei dati potenzialmente accessibili siano stati effettivamente visualizzati — l'elenco comprende dettagli di contatto, date di nascita, post, messaggi diretti, cronologia delle attività, informazioni del profilo e servizi di terze parti collegati.

Anche le dichiarazioni sulle correzioni e le date delle correzioni hanno finito per divergere agli occhi del pubblico. Il 1° giugno, il vicepresidente delle comunicazioni di Meta, Andy Stone, ha dichiarato su X che «il problema che si è effettivamente verificato è già stato risolto». Il 2 giugno, TechCrunch ha riferito di utenti che continuavano a segnalare acquisizioni di account e di membri di canali Telegram che continuavano a mettere in vendita handle dirottati — avvertendo però che non ogni dirottamento segnalato poteva essere ricondotto alla stessa tecnica.

Che cosa ha fatto l'autenticazione a due fattori e che cosa dicevano i primi resoconti che avesse fatto

È qui che la registrazione e la rendicontazione si separano, e vale la pena essere precisi su questo punto.

La versione di Meta è esplicita. La lettera di Hannah afferma che, dopo il reset della password, "la parte non autorizzata è riuscita ad accedere all'account se il titolare dell'account non aveva abilitato l'autenticazione a due fattori (2FA)". KrebsOnSecurity ha riportato la stessa cosa dalle registrazioni dell'exploit: la tecnica falliva contro gli account con MFA abilitato. L'analisi della Cloud Security Alliance ha definito la 2FA "il controllo limitante effettivo", osservando che il flusso di recupero non concedeva mai accesso al livello di autenticazione governato dalla 2FA. La lacuna era la porta di recupero accanto alla porta di accesso, non la porta di accesso stessa.

Di contro, un'ondata di segnalazioni di vittime nei primi giorni diceva l'opposto. BleepingComputer il 2 giugno ha citato utenti che insistevano che le loro identità fossero state verificate tramite scansione facciale e che avessero il 2FA attivo, e ha citato un utente, André, secondo il quale il metodo "aggira le protezioni del 2FA". gHacks ha riportato lo stesso il 3 giugno. Il riassunto in una riga dell'archivio su questo incidente riporta anch'esso quell'affermazione più forte, descrivendo il bot come capace di aggirare l'autenticazione a due fattori.

Meta non ha pubblicato alcun post-mortem tecnico, quindi la discrepanza resta irrisolta anziché chiarita. Ciò che si può affermare è che l'unico documento di prima mano — l'atto depositato firmato dal legale di Meta stessa — descrive una compromissione che si è fermata agli account privi di un secondo fattore, e che le testate più vicine alle registrazioni dell'exploit hanno riportato lo stesso. Considera «il bot ha aggirato il 2FA» un'affermazione, non un fatto accertato.

Un secondo meccanismo segnalato rientra nella stessa categoria. Gli utenti hanno riferito a BleepingComputer e gHacks che il flusso di recupero avrebbe accettato un video selfie e che gli attaccanti hanno animato una foto pubblica del bersaglio tramite un generatore video AI per superarlo. Né il deposito di Meta né la ricostruzione delle registrazioni di Krebs menzionano quel passaggio. Potrebbe essere stato un percorso parallelo; la documentazione pubblica non lo stabilisce.

Le vittime, e la versione che Meta contesta

Il cluster confermato è uno strano mix di account di marchi, militari e ricercatori: l'account del marchio Sephora, il Chief Master Sergeant John Bentivegna della U.S. Space Force e Jane Manchun Wong, i cui post hanno documentato la perdita dell'account. BleepingComputer ha inoltre indicato gli handle composti da una sola parola @hey e @korn, e ha riportato che il proprietario di @korn ha passato sei ore a cercare di raggiungere una persona reale e ha ricevuto quattro link non funzionanti dall'AI di supporto di Meta. Lo stesso articolo ha osservato che le affermazioni sugli handle di una sola lettera @e e @f non potevano essere verificate in modo indipendente, con alcuni che le attribuivano invece a un insider.

Una vittima ampiamente ripetuta è contestata. 404 Media, KrebsOnSecurity e TechCrunch hanno tutti riportato che un handle dormiente della Casa Bianca di Obama era tra quelli sequestrati e brevemente deturpati. Meta ha definito "completamente false" le affermazioni secondo cui gli account dei leader sono stati compromessi, secondo la BBC, e TechCrunch ha registrato direttamente la contestazione dell'azienda. Tutto il resto nell'elenco delle vittime si basa sul resoconto; quel caso no.

L'attribuzione si ferma al canale, non a un'organizzazione. Il reporting stabilisce che istruzioni per exploit funzionanti e handle dirottati sono stati scambiati in gruppi Telegram, che alcuni account sequestrati sono stati usati per messaggistica filo-iraniana e che i nomi utente brevi "OG" hanno un valore nel mercato grigio nelle decine di migliaia di dollari — Krebs ha citato hacker che sostenevano un valore di rivendita superiore a 500.000 dollari per i nomi che possedevano. Nessun report nomina un gruppo, accusa qualcuno o stabilisce che una singola operazione abbia gestito la campagna. La descrizione dell'archivio di un'operazione di rivendita organizzata è coerente con il reporting, ma non è qualcosa che le fonti citate dimostrano.

Cosa è cambiato in seguito

La risposta di Meta, come descritto nel documento depositato e a BleepingComputer, è stata disabilitare lo strumento HTS, rimuovere il percorso di codice difettoso, invalidare ogni link di reimpostazione della password generato dal sistema e inserire gli account interessati in un checkpoint di sicurezza obbligatorio che richiede una reimpostazione tramite canali verificati. Prima della riattivazione, l'azienda ha dichiarato che correggerà il controllo di autenticazione nel punto di ingresso del recupero di Instagram, in modo che l'email fornita venga verificata rispetto ai dati dell'account prima che venga avviata qualsiasi reimpostazione, e che esaminerà flussi di recupero simili su tutte le sue altre piattaforme.

Quanto del programma più ampio sia stato sospeso è più limitato di quanto sembri. Documenti interni citati dal New York Times indicavano che Meta aveva sospeso solo lo specifico esperimento di recupero password di Instagram legato all'incidente, lasciando in vigore piani di supporto più ampi basati sull'IA, ha riportato Android Authority. La nota della Cloud Security Alliance va oltre, affermando che Meta ha disabilitato le capacità autonome del chatbot di associazione delle email e reimpostazione delle password il 31 maggio; questa caratterizzazione è del gruppo di ricerca, non una dichiarazione di Meta.

Perché è archiviato sotto la voce prompt injection e perché quell’etichetta è contestata

L'archivio classifica l'incidente come IPI — indirect prompt injection — insieme all'abuso di credenziali, e l'inquadramento da confused deputy è quello a cui la maggior parte degli analisti è ricorsa. Ma diverse delle persone più vicine all'incidente rifiutano l'etichetta di injection.

Simon Willison, che ha coniato il termine prompt injection, ha scritto il 1 giugno: "Meta ha davvero collegato il proprio sistema di supporto a un chatbot AI che aveva la capacità di accelerare l'intero processo di recupero dell'account. Questo caso a malapena si qualifica come infezione da prompt. Non collegate il vostro bot di supporto in modo da consentire takeover dell'account in un colpo solo!" La Cloud Security Alliance ha operato la stessa distinzione in termini più formali: l'attacco non richiedeva alcun contenuto avversariale nascosto in un documento o nell'output di uno strumento; l'attaccante ha semplicemente chiesto, quindi si tratta di un modello di minaccia diverso dalla classica prompt injection anche se la conseguenza è identica. La sua mappatura è su LLM06:2025 di OWASP, Excessive Agency — funzionalità eccessiva, permessi eccessivi e autonomia eccessiva, tutti e tre presenti contemporaneamente.

La lettura di VentureBeat era più schietta ed è quella che conta sul piano operativo: dall'interno di uno stack di rilevamento, l'attacco non ha prodotto alcun segnale, perché l'agente era un attore autorizzato e ogni scrittura effettuata veniva registrata come una transazione legittima. «Non c'è alcun punto d'appoggio da trovare, perché l'agente era il punto d'appoggio, ed era supposto che fosse lì.»

Ciò che questo documento non stabilisce

Non esiste una CVE per la vulnerabilità HTS, né un write-up tecnico pubblicato da Meta che descriva cosa facesse effettivamente il percorso del codice. La cifra di 20.225 è il limite massimo indicato da Meta, non un conteggio verificato, e l'azienda afferma di non poter dire quali dati siano stati visualizzati. Il numero di account che sono stati effettivamente manomessi, rivenduti o mantenuti per un periodo di tempo qualsiasi è sconosciuto. Nessuno è stato incriminato e, stando ai documenti pubblici qui riassunti, nessuna autorità di vigilanza aveva pubblicato conclusioni specifiche su questo incidente.

Quello che è accertato è più circoscritto e più utile dei titoli: a un agente di assistenza è stato dato accesso in scrittura all'unico campo che determina chi possiede un account, il controllo che il richiedente ne fosse proprietario si trovava in un percorso di codice diverso e non veniva eseguito, e bastava una frase per persuadere l'agente a bypassarlo. La documentazione depositata da Meta stessa afferma che lo strumento «ha funzionato correttamente e ha operato come previsto». Questa è la constatazione. Il bug era nell'architettura che lo circondava.