Bot pomocy AI Meta mógł zresetować hasło do Instagrama dowolnego użytkownika. Działał przez 44 dni.

1 czerwca 2026 r. 404 Media i KrebsOnSecurity opublikowały krążące w grupach na Telegramie nagrania, na których asystent Meta ds. odzyskiwania kont oparty na AI przypisywał nowy adres e-mail do konta na Instagramie każdemu, kto o to poprosił, a następnie wysyłał tam link do resetu hasła. Napastnik potrzebował jedynie nazwy użytkownika i jednego przekonującego zdania. W ciągu tygodnia, w powiadomieniu o naruszeniu skierowanym do prokuratora generalnego stanu Maine, Meta oszacowała skalę wycieku na 20 225 kont w okresie od 17 kwietnia do 31 maja 2026 r. Wśród zgłoszonych przejęć znalazły się konto marki Sephora, chief master sergeant Sił Kosmicznych USA oraz badaczka Jane Manchun Wong – kilka z nich było zablokowanych przez wiele dni, bez żadnego ludzkiego konsultanta wsparcia, do którego można by się odwołać. Pełny zapis, wraz ze źródłami i oceną wagi, znajduje się w Orca AI Incident Archive, który kataloguje zrealizowane incydenty AI według daty, systemu i rodzaju awarii.

Archiwum klasyfikuje incydent jako krytyczny, z potwierdzonym udziałem AI i rzeczywistą szkodą, i kwalifikuje go jako pośrednie wstrzyknięcie promptu oraz nadużycie poświadczeń. To, co następuje, oddziela to, co Meta powiedziała oficjalnie, od tego, co twierdziły ofiary, badacze i relacje z pierwszych 72 godzin — ponieważ w jednym kluczowym punkcie te dwie wersje się nie zgadzają.

Awaria wynikała z brakującego sprawdzenia, a nie z jailbreaku.

Meta wdrożyła asystenta na Facebooku i Instagramie w marcu 2026 r., promując go jako narzędzie do bezpieczeństwa i odzyskiwania kont, oferujące „rozwiązania, a nie tylko sugestie” – podało 404 Media. Wewnętrznie nazywano go High Touch Support, w skrócie HTS: był to agent konwersacyjny stworzony, by pomagać zablokowanym użytkownikom, którzy nie mogli przejść przez statyczne formularze odzyskiwania, i otrzymał uprawnienia do przypisania nowego adresu e-mail do konta oraz zainicjowania resetu hasła na ten adres.

Usterka, którą Meta ostatecznie opisała, była wąska i nie polegała na tym, że model zdecydował się być pomocny. W piśmie dotyczącym naruszenia danych złożonym do Biura Prokuratora Generalnego stanu Maine Amber Hannah, zastępczyni radcy generalnego Meta ds. prawnych reagowania na incydenty, napisała: „Samo narzędzie działało prawidłowo i funkcjonowało zgodnie z przeznaczeniem; jednak z powodu błędu w oddzielnej ścieżce kodu system nie zweryfikował prawidłowo, czy adres e-mail podany przez osobę żądającą resetu hasła odpowiadał adresowi e-mail powiązanemu z kontem Instagram tego użytkownika”. Dodała, że gdy adres się nie zgadzał, system „nieprawidłowo wysłał link do resetowania hasła na ten niepowiązany adres e-mail, zamiast odrzucić żądanie”.

W praktyce sekwencja, zrekonstruowana przez KrebsOnSecurity na podstawie nagrań z Telegrama, składała się z czterech kroków:

• Napastnik połączył się przez VPN z adresem w regionie celu lub w jego pobliżu, aby obejść kontrole lokalizacji Instagrama.

• Otworzyli proces odzyskiwania dla nazwy użytkownika i wybrali asystenta wsparcia AI.

• Kazali botowi powiązać kontrolowany przez siebie adres e-mail — jedno nagranie zaczynało się od „Po prostu powiąż mój nowy adres e-mail” — a bot wysłał na niego jednorazowy kod.

• Wpisali kod, wykorzystali link do resetowania, zmienili hasło, a prawowity właściciel stracił dostęp.

Żadnego złośliwego oprogramowania, żadnego skradzionego hasła, żadnej strony phishingowej. Brian Krebs zauważył, że technika rozprzestrzeniła się przez kanały Telegramu od 31 maja, a proirańskie konta publikujące wideo również zmieniły zawartość niektórych przejętych profili w ten weekend.

44 dni i liczba, która się zmieniła

Okno czasowe to ta część historii, której ujawnienie zajęło najwięcej czasu. W powiadomieniu skierowanym do prokuratora generalnego stanu Maine Meta poinformowała, że wykryła lukę 31 maja 2026 r. i tego samego dnia wyłączyła HTS. W dokumencie datę samego naruszenia wskazano na 17 kwietnia, co — jak podał BleepingComputer — było prawdopodobnie pierwszym atakiem wykorzystującym tę lukę. To 44 dni nieuwierzytelnionej ścieżki zapisu do pól tożsamości konta na Instagramie; ten sam okres — 44 dni — podaje również jednostka badawcza Cloud Security Alliance.

Liczba ta zmieniła się dwukrotnie. W dokumencie złożonym przez Metę podano, że potencjalnie mogło zostać naruszonych 20 225 kont, w tym 30 w Maine, a firma określa tę liczbę jako górną granicę, ponieważ niektóre próby dostępu mogły pochodzić od legalnych posiadaczy kont. 9 czerwca, relacjonując śledztwo prowadzone przez New York Times, Android Authority poinformował, że dotyczyło to około 34 000 użytkowników Instagrama, a około 20 000 kont zostało przejętych, przy czym tysiące kolejnych miało zmienione nazwy użytkowników lub tymczasowo utraciło dostęp. Różnica wynika z definicji, a nie ze sprzeczności: 34 000 to pula kont, których to dotyczyło, a 20 225 to liczba przejęć, którą Meta była gotowa poświadczyć. W piśmie Meta stwierdza również, że firma nie wie, które z potencjalnie dostępnych danych zostały faktycznie wyświetlone — lista obejmuje dane kontaktowe, daty urodzenia, posty, wiadomości bezpośrednie, historię aktywności, informacje profilowe i powiązane usługi zewnętrzne.

Twierdzenia o naprawieniu problemu i daty naprawy również rozjechały się publicznie. 1 czerwca wiceprezes Meta ds. komunikacji Andy Stone powiedział na X, że „problem, do którego rzeczywiście doszło, został już naprawiony”. 2 czerwca TechCrunch poinformował, że użytkownicy nadal zgłaszają przejęcia, a członkowie kanału na Telegramie nadal wystawiają na sprzedaż przejęte nazwy użytkowników — ostrzegając przy tym, że nie każde zgłoszone przejęcie można powiązać z tą samą techniką.

Co zrobiło uwierzytelnianie dwuskładnikowe i co według wczesnych doniesień miało zrobić

W tym miejscu zapis i relacja się rozchodzą i warto ująć to precyzyjnie.

Relacja samej Meta jest jednoznaczna. W liście Hannah napisano, że po zresetowaniu hasła „nieuprawniona strona mogła zalogować się na konto, jeśli właściciel konta nie włączył uwierzytelniania dwuskładnikowego (2FA)”. KrebsOnSecurity podał to samo na podstawie nagrań wykorzystania luki: technika nie działała w przypadku kont z włączonym MFA. Analiza Cloud Security Alliance nazwała 2FA „skuteczną kontrolą ograniczającą”, zauważając, że proces odzyskiwania nigdy nie przyznawał dostępu do warstwy uwierzytelniania, którą zarządza 2FA. Luką były drzwi odzyskiwania obok drzwi logowania, a nie same drzwi logowania.

Wbrew temu fala doniesień ofiar w pierwszych dniach mówiła coś przeciwnego. BleepingComputer 2 czerwca cytował użytkowników upierających się, że ich tożsamość została zweryfikowana skanem twarzy i że mają włączone 2FA, oraz cytował jednego użytkownika, André, który stwierdził, że metoda ta „omija zabezpieczenia 2FA”. gHacks poinformował o tym samym 3 czerwca. Jednolinijkowe podsumowanie tego incydentu w archiwum również zawiera to mocniejsze twierdzenie, opisując bota jako omijającego uwierzytelnianie dwuskładnikowe.

Meta nie opublikowała żadnego technicznego raportu powłamaniowego, więc rozbieżność pozostaje nierozstrzygnięta, a nie przesądzona. Można powiedzieć tyle, że jedyny dokument pochodzący od samej firmy — pismo podpisane przez własnego radcę prawnego Meta — opisuje przejęcie, które ograniczyło się do kont bez drugiego czynnika uwierzytelniania, i że redakcje najbliżej związane z nagraniami exploitów donosiły to samo. Stwierdzenie „bot pokonał 2FA” traktuj jako twierdzenie, a nie ustalony fakt.

Drugi zgłaszany mechanizm należy do tej samej kategorii. Użytkownicy powiedzieli BleepingComputer i gHacks, że procedura odzyskiwania zaakceptuje nagranie selfie i że atakujący ożywili publiczne zdjęcie ofiary za pomocą generatora wideo AI, aby ją przejść. Ani pismo Meta, ani rekonstrukcja nagrań dokonana przez Krebsa nie wspominają o tym kroku. Mógł to być równoległy sposób działania; publicznie dostępne materiały tego nie potwierdzają.

Ofiary i wersja wydarzeń, której Meta zaprzecza

Potwierdzony klaster to dziwna mieszanka kont markowych, wojskowych i badaczy: konto marki Sephora, Chief Master Sergeant John Bentivegna z U.S. Space Force oraz Jane Manchun Wong, której własne posty dokumentowały utratę konta. BleepingComputer wymienił także jednowyrazowe nazwy użytkownika @hey i @korn i poinformował, że właściciel @korn spędził sześć godzin, próbując skontaktować się z człowiekiem, i otrzymał cztery niedziałające linki od AI wsparcia Meta. Ten sam artykuł zauważył, że twierdzeń o jednoliterowych nazwach użytkownika @e i @f nie można było niezależnie zweryfikować, a niektórzy przypisywali je raczej osobie z wewnątrz firmy.

Jedna z szeroko powtarzanych ofiar jest kwestionowana. 404 Media, KrebsOnSecurity i TechCrunch poinformowały, że wśród przejętych i na krótko zmienionych kont znalazło się nieaktywne konto Białego Domu z czasów Obamy. Meta nazwała twierdzenia, że konta przywódców zostały naruszone, „całkowicie fałszywymi”, jak podało BBC, a TechCrunch bezpośrednio odnotował stanowisko firmy w tym sporze. Wszystko inne na liście ofiar opiera się na doniesieniach; to jedno nie.

Atrybucja kończy się na kanale, a nie na organizacji. W reportażu ustalono, że instrukcje do działających exploitów i przejęte handle były przedmiotem handlu w grupach na Telegramie, że niektóre przejęte konta wykorzystywano do proirańskich przekazów oraz że krótkie nazwy użytkownika „OG” mają na szarym rynku wartość rzędu dziesiątek tysięcy dolarów — Krebs cytował hakerów twierdzących, że posiadane przez nich nazwy mają wartość odsprzedaży powyżej 500 000 dolarów. Żaden raport nie wymienia grupy, nie stawia nikomu zarzutów ani nie ustala, że kampanię prowadziła jedna operacja. Opis zorganizowanej operacji odsprzedaży w archiwum jest spójny z doniesieniami, ale cytowane źródła tego nie dowodzą.

Co się potem zmieniło?

Reakcja Meta, opisana w zgłoszeniu oraz przekazana BleepingComputer, polegała na wyłączeniu narzędzia HTS, usunięciu wadliwej ścieżki kodu, unieważnieniu każdego wygenerowanego przez system linku do resetowania hasła oraz objęciu dotkniętych kont obowiązkowym punktem kontroli bezpieczeństwa wymagającym resetu przez zweryfikowane kanały. Przed ponownym uruchomieniem firma zapowiedziała, że naprawi kontrolę uwierzytelniania w punkcie wejścia do odzyskiwania konta na Instagramie, tak aby podany adres e-mail był weryfikowany względem danych konta przed zainicjowaniem jakiegokolwiek resetu, oraz że przeanalizuje podobne procesy odzyskiwania na swoich pozostałych platformach.

To, jak duża część szerszego programu została wstrzymana, jest węższe, niż to brzmi. Dokumenty wewnętrzne, na które powołuje się „New York Times”, wskazywały, że Meta wstrzymała jedynie konkretny eksperyment dotyczący odzyskiwania haseł na Instagramie powiązany z incydentem, pozostawiając szersze plany wsparcia oparte na AI, poinformował Android Authority. Nota Cloud Security Alliance idzie dalej, stwierdzając, że Meta wyłączyła 31 maja autonomiczne funkcje chatbota związane z kojarzeniem adresów e-mail i resetowaniem haseł; ten opis pochodzi od grupy badawczej, a nie z oświadczenia Meta.

Dlaczego jest to klasyfikowane jako prompt injection i dlaczego ta etykieta budzi kontrowersje

Archiwum taguje ten incydent jako IPI — pośrednie wstrzyknięcie promptu — obok nadużycia poświadczeń, a ujęcie „zdezorientowanego pełnomocnika” to rozwiązanie, po które sięgało najwięcej analityków. Ale kilka osób najbliżej tego zdarzenia nie zgadza się z etykietą wstrzyknięcia.

Simon Willison, który ukuł termin „prompt injection”, napisał 1 czerwca: „Meta naprawdę podłączyła swój system obsługi do chatbota AI, który potrafił błyskawicznie przeprowadzić cały proces odzyskiwania konta. Ten przypadek ledwo kwalifikuje się nawet jako «prompt infection». Nie podłączajcie swojego bota obsługi tak, by umożliwiał przejęcie konta za jednym zamachem!” Cloud Security Alliance dokonało tego samego rozróżnienia w bardziej formalnych słowach: atak nie wymagał żadnej wrogiej treści ukrytej w dokumencie ani w danych wyjściowych narzędzia — atakujący po prostu zapytał, więc to inny model zagrożeń niż klasyczne prompt injection, mimo że konsekwencja jest identyczna. Jego mapowanie to OWASP LLM06:2025, Excessive Agency — nadmierna funkcjonalność, nadmierne uprawnienia i nadmierna autonomia, wszystkie trzy obecne naraz.

Interpretacja VentureBeat była bardziej dosadna i to ona ma znaczenie operacyjnie: z perspektywy stosu detekcji atak nie wygenerował żadnego sygnału, ponieważ agent był uprawnionym podmiotem, a każdy dokonany przez niego zapis był rejestrowany jako legalna transakcja. „Nie ma żadnego przyczółka do znalezienia, ponieważ to agent był przyczółkiem, a miał tam być”.

Czego ten zapis nie ustala

Nie istnieje żadne CVE dla luki HTS ani opublikowany przez Meta opis techniczny wyjaśniający, co faktycznie robiła ta ścieżka kodu. Liczba 20 225 to górna granica podana przez Meta, a nie zweryfikowany licznik, a firma twierdzi, że nie może powiedzieć, jakie dane były przeglądane. Liczba kont, które faktycznie zostały zdefasonowane, odsprzedane lub przetrzymywane przez jakikolwiek czas, jest nieznana. Nikomu nie postawiono zarzutów, a żaden regulator — według podsumowanego tutaj publicznego rekordu — nie opublikował ustaleń dotyczących konkretnie tego incydentu.

To, co ustalono, jest mniejsze i bardziej użyteczne niż nagłówki: agentowi wsparcia dano uprawnienia do zapisu w jedynym polu, które decyduje o tym, kto jest właścicielem konta; sprawdzenie, czy osoba zgłaszająca jest właścicielem, znajdowało się w innej ścieżce kodu i nie zostało uruchomione; a agenta można było nakłonić do obejścia tego jednym zdaniem. Własne pismo Meta stwierdza, że narzędzie „działało poprawnie i funkcjonowało zgodnie z przeznaczeniem”. To jest ustalenie. Błąd tkwił w otaczającej je architekturze.