Meta's AI-supportbot kon het Instagram-wachtwoord van iedereen resetten. Hij was 44 dagen actief.

On 1 June 2026, 404 Media and KrebsOnSecurity published recordings circulating in Telegram groups that showed Meta's AI account-recovery assistant attaching a new email address to an Instagram account for anyone who asked, then sending the password reset there. The attacker needed a username and one convincing sentence. Within a week, in a breach notification to Maine's attorney general, Meta put the exposure at 20,225 accounts across a window running from 17 April to 31 May 2026. Sephora's brand account, the U.S. Space Force's chief master sergeant and researcher Jane Manchun Wong were among those reported hijacked, several of them locked out for days with no human support agent to appeal to. The full record, with its sources and severity grading, sits in the Orca AI Incident Archive, which catalogues realised AI incidents by date, system and failure type.

Het archief kwalificeert het incident als kritiek, met bevestigde betrokkenheid van AI en reële schade, en classificeert het onder indirecte promptinjectie en misbruik van inloggegevens. Wat volgt scheidt wat Meta officieel heeft verklaard van wat slachtoffers, onderzoekers en de berichtgeving in de eerste 72 uur beweerden — want op één centraal punt stemmen die twee niet overeen.

De fout was een ontbrekende controle, geen jailbreak.

Meta rolde de assistent in maart 2026 uit op Facebook en Instagram en markette het als accountbeveiliging en -herstel dat "oplossingen bood, niet alleen suggesties", aldus 404 Media. Intern heette het High Touch Support, oftewel HTS: een conversationele agent die is gebouwd om buitengesloten gebruikers te helpen die niet door statische herstelformulieren heen kwamen, en die de bevoegdheid kreeg om een nieuw e-mailadres aan een account te koppelen en een wachtwoordreset naar dat adres te activeren.

Het defect dat Meta uiteindelijk beschreef, was beperkt, en het was niet het model dat besloot behulpzaam te zijn. In een datalekbrief die bij het Office of the Attorney General van Maine was ingediend, schreef Amber Hannah, associate general counsel voor juridische incidentrespons bij Meta: "De tool zelf werkte goed en functioneerde zoals bedoeld; door een bug in een afzonderlijk codepad heeft het systeem echter niet correct geverifieerd dat het e-mailadres dat door de persoon die een wachtwoordreset aanvroeg werd opgegeven, overeenkwam met het e-mailadres dat aan het Instagram-account van die gebruiker was gekoppeld." Ze voegde eraan toe dat wanneer het adres niet overeenkwam, het systeem "ten onrechte een link voor wachtwoordreset naar dat niet-gekoppelde e-mailadres stuurde in plaats van het verzoek af te wijzen".

In de praktijk verliep de opeenvolging, zoals KrebsOnSecurity die reconstrueerde aan de hand van de Telegram-opnamen, in vier stappen:

• De aanvaller maakte verbinding via een VPN met een adres in of nabij de regio van het doelwit, om de locatiecontroles van Instagram te omzeilen.

• Ze openden de herstelflow voor een gebruikersnaam en selecteerden de AI-ondersteuningsassistent.

• Ze vroegen de bot om een e-mailadres te koppelen dat ze zelf beheersten — een opname begon met 'Koppel gewoon mijn nieuwe e-mailadres' — en de bot stuurde de eenmalige code daarnaartoe.

• Ze voerden de code in, namen de resetlink, wijzigden het wachtwoord en de rechtmatige eigenaar stond buitenspel.

Geen malware, geen gestolen wachtwoord, geen phishingpagina. Brian Krebs merkte op dat de techniek zich vanaf 31 mei via Telegram-kanalen verspreidde, en dat de pro-Iraanse accounts die de video plaatsten dat weekend ook enkele van de in beslag genomen profielen bekladden.

44 dagen, en een getal dat verschoof

Het venster is het deel van het dossier dat het langst nodig had om openbaar te worden. In zijn kennisgeving aan de procureur-generaal van Maine zei Meta dat het de kwetsbaarheid op 31 mei 2026 ontdekte en HTS die dag uitschakelde. In de melding wordt de inbreuk zelf gedateerd op 17 april, wat volgens BleepingComputer waarschijnlijk de eerste aanval is die misbruik maakte van de fout. Dat zijn 44 dagen van een niet-geauthenticeerd schrijfpad naar de identiteitsvelden van Instagram-accounts, een periode die de onderzoeksafdeling van de Cloud Security Alliance ook op 44 dagen stelt.

Het aantal is twee keer bijgesteld. In het ingediende document van Meta staat dat 20.225 accounts mogelijk zijn gecompromitteerd, waaronder 30 in Maine, en het bedrijf noemt dat een bovengrens omdat sommige toegangspogingen van legitieme accounthouders afkomstig kunnen zijn geweest. Op 9 juni zei Android Authority, in berichtgeving over een onderzoek van The New York Times, dat ongeveer 34.000 Instagram-gebruikers getroffen waren en ongeveer 20.000 accounts gecompromitteerd, terwijl bij duizenden anderen de gebruikersnaam werd gewijzigd of zij tijdelijk de toegang verloren. Het verschil is een definitiekwestie, geen tegenstrijdigheid: 34.000 is het aantal accounts dat is geraakt, 20.225 is het aantal overnames dat Meta wilde certificeren. In de brief van Meta staat ook dat het bedrijf niet weet welke van de mogelijk toegankelijke gegevens daadwerkelijk zijn bekeken — de lijst omvat contactgegevens, geboortedata, geplaatste berichten, directe berichten, activiteitsgeschiedenis, profielinformatie en gekoppelde diensten van derden.

De beweringen over de oplossing en de datums waarop die zou zijn doorgevoerd, liepen in het openbaar ook uiteen. Op 1 juni zei Andy Stone, vicepresident communicatie bij Meta, op X dat "het probleem dat zich heeft voorgedaan al is verholpen". Op 2 juni meldde TechCrunch dat gebruikers nog steeds melding maakten van overnames en dat leden van Telegram-kanalen nog steeds gekaapte handles te koop aanboden — met de kanttekening dat niet elke gemelde kaping aan dezelfde techniek kon worden gekoppeld.

Wat tweefactorauthenticatie deed, en wat vroege berichten zeiden dat het deed

Dit is het punt waarop het verslag en de rapportage uiteengaan, en het loont de moeite daar precies over te zijn.

De eigen verklaring van Meta is expliciet. Hannahs brief zegt dat na de wachtwoordreset "de ongeautoriseerde partij kon inloggen op het account als de accounthouder geen tweefactorauthenticatie (2FA) had ingeschakeld." KrebsOnSecurity meldde hetzelfde op basis van de opnamen van de exploit: de techniek faalde bij accounts met MFA ingeschakeld. De analyse van de Cloud Security Alliance noemde 2FA "de effectieve beperkende controle" en merkte op dat het herstelproces nooit toegang verleende tot de authenticatielaag die 2FA beheert. Het gat was de hersteldeur naast de inlogdeur, niet de inlogdeur zelf.

Daarentegen zei een golf van slachtoffermeldingen in de eerste dagen het tegenovergestelde. BleepingComputer citeerde op 2 juni gebruikers die erop stonden dat hun identiteit was geverifieerd via een gezichtsscan en dat ze 2FA hadden ingeschakeld, en citeerde een gebruiker, André, die zei dat de methode "de 2FA-beveiligingen omzeilt". gHacks meldde hetzelfde op 3 juni. De samenvatting van één regel van het archief over dit incident bevat ook die sterkere bewering, waarbij de bot wordt beschreven als het omzeilen van tweefactorauthenticatie.

Meta heeft geen technische post-mortem gepubliceerd, dus de discrepantie is onopgelost in plaats van beslecht. Wat wel kan worden gezegd, is dat het enige document uit eerste hand — de indiening ondertekend door Meta's eigen advocaat — een accountovername beschrijft die stopte bij accounts zonder tweede factor, en dat de media die het dichtst bij de exploitopnamen stonden hetzelfde meldden. Behandel "de bot heeft 2FA omzeild" als een bewering, niet als een vaststaand feit.

Een tweede gerapporteerd mechanisme valt in dezelfde categorie. Gebruikers vertelden BleepingComputer en gHacks dat de herstelprocedure een selfievideo zou accepteren, en dat aanvallers een openbare foto van het doelwit met een AI-videogenerator animeerden om de controle te doorstaan. Noch de door Meta ingediende stukken, noch de reconstructie van de opnamen door Krebs vermeldt die stap. Het kan een parallelle route zijn geweest; het openbare dossier stelt dat niet vast.

De slachtoffers, en de lezing die Meta betwist

De bevestigde cluster is een vreemde mix van merk-, militaire en onderzoekersaccounts: het merkaccount van Sephora, Chief Master Sergeant John Bentivegna van de U.S. Space Force, en Jane Manchun Wong, wier eigen berichten documenteerden dat ze het account kwijtraakte. BleepingComputer noemde ook de handles van één woord @hey en @korn, en meldde dat de eigenaar van @korn zes uur lang probeerde een mens te bereiken en vier kapotte links ontving van Meta's support-AI. Hetzelfde artikel merkte op dat beweringen over de handles van één letter @e en @f niet onafhankelijk konden worden geverifieerd, waarbij sommigen ze in plaats daarvan aan een insider toeschreven.

Eén vaak herhaald slachtoffer is omstreden. 404 Media, KrebsOnSecurity en TechCrunch meldden allemaal dat een slapende accountnaam van het Witte Huis onder Obama een van de in beslag genomen en kortstondig bekladde accounts was. Meta noemde beweringen dat de accounts van leiders waren gecompromitteerd 'volstrekt onwaar', aldus de BBC, en TechCrunch legde de betwisting door het bedrijf rechtstreeks vast. Al het overige in de slachtofferlijst berust op de berichtgeving; dat ene niet.

Toeschrijving stopt bij het kanaal, niet bij een organisatie. De berichtgeving stelt vast dat werkende exploitinstructies en gekaapte handles werden verhandeld in Telegram-groepen, dat sommige in beslag genomen accounts werden gebruikt voor pro-Iraanse berichtgeving, en dat korte "OG"-gebruikersnamen op de grijze markt tienduizenden dollars waard zijn — Krebs citeerde hackers die beweerden dat de namen die zij bezaten een doorverkoopwaarde van meer dan $500,000 hadden. Geen enkel rapport noemt een groep, beschuldigt iemand, of stelt vast dat één enkele operatie de campagne leidde. De beschrijving van het archief van een georganiseerde doorverkoopoperatie is consistent met de berichtgeving, maar is niet iets wat de aangehaalde bronnen bewijzen.

Wat is er daarna veranderd?

De reactie van Meta, zoals beschreven in het ingediende document en aan BleepingComputer, was om de HTS-tool uit te schakelen, het foutieve codepad te verwijderen, elke door het systeem gegenereerde wachtwoordresetlink ongeldig te maken en getroffen accounts in een verplichte beveiligingscontrole te plaatsen die een reset via geverifieerde kanalen vereist. Vóór de herlancering zei het bedrijf dat het de authenticatiecontrole bij het Instagram-herstelpunt zou repareren, zodat een opgegeven e-mailadres tegen accountgegevens wordt geverifieerd voordat een reset wordt gestart, en dat het vergelijkbare herstelstromen op zijn andere platforms zou beoordelen.

De mate waarin het bredere programma werd gepauzeerd, is beperkter dan dat klinkt. Interne documenten waar de New York Times naar verwees, gaven aan dat Meta alleen het specifieke Instagram-wachtwoordherstel-experiment dat aan het incident was gekoppeld, had gepauzeerd, terwijl bredere door AI aangedreven ondersteuningsplannen van kracht bleven, aldus Android Authority. De notitie van de Cloud Security Alliance gaat verder en stelt dat Meta op 31 mei de autonome e-mailkoppeling- en wachtwoordresetmogelijkheden van de chatbot heeft uitgeschakeld; die typering is afkomstig van de onderzoeksgroep en niet van een verklaring van Meta.

Waarom het onder prompt injection wordt geschaard, en waarom dat label omstreden is

Het archief bestempelt het incident als IPI — indirecte promptinjectie — naast misbruik van inloggegevens, en het confused-deputy-kader is waar de meeste analisten naar grepen. Maar verschillende mensen die er het dichtst bij betrokken zijn, verzetten zich tegen het injectielabel.

Simon Willison, die de term prompt injection bedacht, schreef op 1 juni: "Meta heeft hun supportsysteem echt gekoppeld aan een AI-chatbot die het volledige accountherstelproces versneld kon doorlopen. Dit kwalificeert nauwelijks zelfs als een prompt-infectie. Sluit je supportbot niet zodanig aan dat eenmalige accountovernames mogelijk zijn!" De Cloud Security Alliance maakte hetzelfde onderscheid in formelere bewoordingen: de aanval vereiste geen adversariële inhoud die in een document of tooluitvoer verborgen zat; de aanvaller vroeg er simpelweg om, dus het is een ander dreigingsmodel dan klassieke prompt injection, ook al is het gevolg identiek. De mapping ervan is naar OWASP's LLM06:2025, Excessive Agency — overmatige functionaliteit, overmatige machtigingen en overmatige autonomie, alle drie tegelijk aanwezig.

De lezing van VentureBeat was botter en is operationeel gezien de belangrijkste: vanuit een detectiestack produceerde de aanval helemaal geen signaal, omdat de agent een geautoriseerde actor was en elke schrijfactie die hij verrichtte werd gelogd als een legitieme transactie. "Er is geen foothold te vinden, want de agent wás de foothold, en hij hoorde daar te zijn."

Wat dit record niet vaststelt

Er bestaat geen CVE voor de HTS-kwetsbaarheid, en er is geen gepubliceerde technische uiteenzetting van Meta die beschrijft wat het codepad daadwerkelijk deed. Het cijfer 20.225 is Meta's bovengrens, geen gecontroleerd aantal, en het bedrijf zegt niet te kunnen zeggen welke gegevens zijn bekeken. Het aantal accounts dat daadwerkelijk is gedefaceerd, doorverkocht of enige tijd in bezit gehouden, is onbekend. Niemand is aangeklaagd, en geen enkele toezichthouder had — voor zover blijkt uit het hier samengevatte openbare verslag — bevindingen gepubliceerd die specifiek op dit incident betrekking hebben.

Wat vaststaat, is kleiner en nuttiger dan de koppen: een supportmedewerker kreeg schrijftoegang tot het ene veld dat bepaalt wie de eigenaar van een account is, de controle dat de aanvrager er eigenaar van was, zat in een ander codepad en werd niet uitgevoerd, en de medewerker kon met één zin worden omgepraat om eraan voorbij te gaan. In Meta's eigen dossierstuk staat dat de tool "naar behoren werkte en functioneerde zoals bedoeld". Dat is de bevinding. De bug zat in de architectuur eromheen.