O bot de suporte de IA da Meta podia redefinir a senha de qualquer conta do Instagram. Ele ficou ativo por 44 dias.

Em 1º de junho de 2026, 404 Media e KrebsOnSecurity publicaram gravações que circulavam em grupos do Telegram e mostravam o assistente de recuperação de contas de IA da Meta anexando um novo endereço de e-mail a uma conta do Instagram para qualquer pessoa que pedisse, e então enviando a redefinição de senha para lá. O atacante precisava de um nome de usuário e de uma frase convincente. Em uma semana, em uma notificação de violação ao procurador-geral do Maine, a Meta estimou a exposição em 20.225 contas em um período que ia de 17 de abril a 31 de maio de 2026. A conta da marca Sephora, o sargento-mor da Força Espacial dos Estados Unidos e a pesquisadora Jane Manchun Wong estavam entre as contas relatadas como invadidas, várias delas bloqueadas por dias sem nenhum agente de suporte humano a quem recorrer. O registro completo, com suas fontes e classificação de gravidade, está no Orca AI Incident Archive, que cataloga incidentes de IA concretizados por data, sistema e tipo de falha.

O arquivo classifica o incidente como crítico, com envolvimento de IA confirmado e danos reais, e o arquiva sob injeção indireta de prompt e abuso de credenciais. O que se segue separa o que a Meta declarou oficialmente do que as vítimas, pesquisadores e a cobertura das primeiras 72 horas alegaram — porque em um ponto central os dois não concordam.

A falha foi a falta de uma verificação, não um jailbreak.

A Meta lançou o assistente no Facebook e no Instagram em março de 2026, promovendo-o como segurança e recuperação de conta que oferecia “soluções, não apenas sugestões”, segundo a 404 Media. Internamente, ele era chamado de High Touch Support, ou HTS: um agente conversacional criado para ajudar usuários sem acesso que não conseguiam usar os formulários estáticos de recuperação, e com autoridade para associar um novo endereço de e-mail a uma conta e acionar a redefinição de senha para esse endereço.

O defeito que a Meta acabou descrevendo era restrito, e não era o modelo decidindo ser útil. Em uma carta sobre violação de dados protocolada no Gabinete do Procurador-Geral do Maine, Amber Hannah, conselheira jurídica geral associada da Meta para questões jurídicas de resposta a incidentes, escreveu: "A ferramenta em si funcionou corretamente e operou conforme o esperado; contudo, devido a um bug em um caminho de código separado, o sistema não verificou adequadamente se o endereço de e-mail fornecido pela pessoa que solicitava a redefinição de senha correspondia ao endereço de e-mail associado à conta do Instagram daquele usuário." Ela acrescentou que, quando o endereço não correspondia, o sistema "enviava incorretamente um link de redefinição de senha para aquele e-mail não associado em vez de rejeitar a solicitação".

Na prática, a sequência, conforme reconstruída pela KrebsOnSecurity a partir das gravações do Telegram, foi de quatro etapas:

• O atacante se conectou por meio de uma VPN com um endereço na região do alvo ou próximo a ela, para burlar as verificações de localização do Instagram.

• Eles abriram o fluxo de recuperação para um nome de usuário e selecionaram o assistente de suporte com IA.

• Eles disseram ao bot para vincular um endereço de e-mail que controlavam — uma gravação começava com “Só vincule meu novo endereço de e-mail” — e o bot enviou o código de uso único para ele.

• Eles inseriram o código, usaram o link de redefinição, alteraram a senha, e o proprietário legítimo ficou de fora.

Sem malware, sem senha roubada, sem página de phishing. Brian Krebs observou que a técnica se espalhou por canais do Telegram a partir de 31 de maio, e que as contas pró-Irã que publicaram o vídeo também desfiguraram alguns dos perfis tomados naquele fim de semana.

44 dias, e um número que mudou

A janela é a parte do registro que levou mais tempo para se tornar pública. Em sua notificação ao procurador-geral do Maine, a Meta disse que descobriu a vulnerabilidade em 31 de maio de 2026 e desativou o HTS naquele dia. O documento data a violação em si em 17 de abril, que o BleepingComputer informou ser provavelmente o primeiro ataque a explorar a falha. São 44 dias de um caminho de escrita não autenticado nos campos de identidade da conta do Instagram, um período que o braço de pesquisa da Cloud Security Alliance também estima em 44 dias.

A contagem mudou duas vezes. O documento protocolado pela Meta afirma que 20.225 contas foram potencialmente comprometidas, incluindo 30 no Maine, e a empresa descreve isso como um limite superior porque algumas tentativas de acesso podem ter vindo de titulares legítimos das contas. Em 9 de junho, ao noticiar uma investigação do New York Times, o Android Authority disse que cerca de 34.000 usuários do Instagram foram afetados e cerca de 20.000 contas foram comprometidas, com milhares de outras tendo nomes de usuário alterados ou perdido o acesso temporariamente. A diferença é uma questão de definição, não uma contradição: 34.000 é o conjunto de contas afetadas, 20.225 é o número de tomadas de conta que a Meta estava disposta a certificar. A carta da Meta também afirma que a empresa não sabe quais dos dados potencialmente acessíveis foram de fato visualizados — a lista abrange detalhes de contato, datas de nascimento, publicações, mensagens diretas, histórico de atividade, informações de perfil e serviços de terceiros vinculados.

As alegações sobre correções e as datas das correções também divergiram publicamente. Em 1º de junho, o vice-presidente de comunicações da Meta, Andy Stone, disse no X que “o problema que de fato ocorreu já foi corrigido”. Em 2 de junho, o TechCrunch relatou que usuários ainda relatavam tomadas de contas, e membros de canais do Telegram ainda anunciavam nomes de usuário sequestrados para venda — embora alertasse que nem todo sequestro relatado podia ser vinculado à mesma técnica.

O que a autenticação de dois fatores fez e o que os relatos iniciais disseram que ela fez

É aqui que o registro e o relato se separam, e vale a pena ser preciso quanto a isso.

A própria versão da Meta é explícita. A carta de Hannah diz que, após a redefinição de senha, “a parte não autorizada conseguiu fazer login na conta se o titular da conta não tivesse ativado a autenticação de dois fatores (2FA)”. O KrebsOnSecurity relatou o mesmo com base nas gravações do exploit: a técnica falhou contra contas com MFA ativado. A análise da Cloud Security Alliance chamou o 2FA de “o controle limitante eficaz”, observando que o fluxo de recuperação nunca concedeu acesso à camada de autenticação que o 2FA governa. A falha era a porta de recuperação ao lado da porta de login, não a própria porta de login.

Em contrapartida, uma onda de relatos de vítimas nos primeiros dias dizia o contrário. O BleepingComputer, em 2 de junho, citou usuários que insistiam que suas identidades haviam sido verificadas por reconhecimento facial e que tinham o 2FA ativado, e citou um usuário, André, dizendo que o método "contorna as proteções do 2FA". O gHacks relatou o mesmo em 3 de junho. O resumo de uma linha do arquivo sobre este incidente também traz essa alegação mais forte, descrevendo o bot como contornando a autenticação de dois fatores.

A Meta não publicou nenhum post-mortem técnico, portanto a discrepância permanece sem resolução, e não resolvida. O que se pode afirmar é que o único documento da própria empresa — a petição assinada pelo próprio advogado da Meta — descreve uma tomada de conta que parou em contas sem segundo fator, e que os veículos mais próximos das gravações do exploit relataram o mesmo. Trate "o bot derrotou o 2FA" como uma alegação, não como um fato estabelecido.

Um segundo mecanismo relatado está na mesma categoria. Usuários disseram ao BleepingComputer e ao gHacks que o fluxo de recuperação aceitaria um vídeo selfie, e que os atacantes animaram uma foto pública do alvo por meio de um gerador de vídeo por IA para contorná-lo. Nem a petição da Meta nem a reconstrução das gravações feita por Krebs mencionam essa etapa. Pode ter sido um caminho paralelo; o registro público não estabelece isso.

As vítimas, e o relato que a Meta contesta

O cluster confirmado é uma mistura estranha de contas de marcas, militares e pesquisadores: a conta da marca Sephora, o Chief Master Sergeant John Bentivegna, da Força Espacial dos EUA, e Jane Manchun Wong, cujas próprias postagens documentaram a perda da conta. O BleepingComputer também citou os identificadores de uma só palavra @hey e @korn, e relatou que o proprietário do @korn passou seis horas tentando falar com um humano e recebeu quatro links quebrados da IA de suporte da Meta. O mesmo artigo observou que as alegações sobre os identificadores de uma única letra @e e @f não puderam ser verificadas de forma independente, com alguns atribuindo-as a um insider.

Há uma vítima amplamente citada cujo caso é contestado. A 404 Media, a KrebsOnSecurity e a TechCrunch noticiaram que uma conta inativa da Casa Branca de Obama estava entre as tomadas e brevemente desfiguradas. A Meta classificou como "completamente falsas" as alegações de que contas de líderes foram invadidas, segundo a BBC, e a TechCrunch registrou diretamente a contestação da empresa. Todo o restante da lista de vítimas se sustenta nas reportagens; essa não.

A atribuição limita-se ao canal, não a uma organização. A reportagem estabelece que instruções funcionais de exploração e nomes de usuário sequestrados foram negociados em grupos do Telegram, que algumas contas tomadas foram usadas para mensagens pró-Irã e que nomes de usuário curtos "OG" têm um valor de mercado cinza na casa das dezenas de milhares de dólares — Krebs citou hackers alegando um valor de revenda acima de US$ 500.000 pelos nomes que possuíam. Nenhum relatório nomeia um grupo, acusa alguém ou estabelece que uma única operação conduziu a campanha. A descrição do arquivo de uma operação organizada de revenda é consistente com a reportagem, mas não é algo que as fontes citadas comprovem.

O que mudou depois

A resposta da Meta, conforme descrito no documento e ao BleepingComputer, foi desativar a ferramenta HTS, remover o caminho de código defeituoso, invalidar todos os links de redefinição de senha gerados pelo sistema e colocar as contas afetadas em um ponto de verificação de segurança obrigatório que exigia uma redefinição por canais verificados. Antes de relançar, a empresa disse que corrigiria a verificação de autenticação no ponto de entrada de recuperação do Instagram, para que um e-mail fornecido fosse verificado nos registros da conta antes de qualquer redefinição ser iniciada, e que revisaria fluxos de recuperação semelhantes em suas outras plataformas.

A parcela do programa mais amplo que foi pausada é menor do que parece. Documentos internos citados pelo New York Times indicavam que a Meta pausou apenas o experimento específico de recuperação de senha do Instagram ligado ao incidente, mantendo em vigor planos mais amplos de suporte alimentados por IA, informou o Android Authority. A nota da Cloud Security Alliance vai além, afirmando que a Meta desativou os recursos autônomos de associação de e-mail e redefinição de senha do chatbot em 31 de maio; essa caracterização é do grupo de pesquisa, não uma declaração da Meta.

Por que isso é classificado como injeção de prompt e por que esse rótulo é contestado

O arquivo classifica o incidente como IPI — injeção indireta de prompt — ao lado de abuso de credenciais, e o enquadramento de "confused deputy" é o que a maioria dos analistas adotou. Mas várias das pessoas mais próximas do caso resistem ao rótulo de injeção.

Simon Willison, que cunhou o termo prompt injection, escreveu a 1 de junho: "A Meta realmente ligou o seu sistema de suporte a um chatbot de IA que tinha a capacidade de avançar rapidamente por todo o processo de recuperação de conta. Este caso dificilmente se qualifica sequer como uma infeção por prompt. Não liguem o vosso bot de suporte de forma a permitir tomadas de conta num único pedido!" A Cloud Security Alliance fez a mesma distinção em termos mais formais: o ataque não exigia conteúdo adversário oculto num documento ou na saída de uma ferramenta; o atacante simplesmente pediu, pelo que se trata de um modelo de ameaça diferente da injeção de prompt clássica, ainda que a consequência seja idêntica. O seu mapeamento é para o LLM06:2025 da OWASP, Agência Excessiva — funcionalidade excessiva, permissões excessivas e autonomia excessiva, todas as três presentes ao mesmo tempo.

A leitura da VentureBeat foi mais direta e é a que importa operacionalmente: de dentro de uma pilha de detecção, o ataque não produziu sinal algum, porque o agente era um ator autorizado e toda escrita que ele fez foi registrada como uma transação legítima. “Não há ponto de apoio a encontrar, porque o agente era o ponto de apoio, e ele deveria estar lá.”

O que este registro não estabelece

Não existe nenhum CVE para a falha HTS, nem qualquer relatório técnico publicado pela Meta que descreva o que o percurso do código fazia realmente. O valor de 20.225 é o limite superior indicado pela Meta, não uma contagem auditada, e a empresa afirma que não consegue dizer que dados foram visualizados. Desconhece-se quantas contas foram efetivamente vandalizadas, revendidas ou mantidas sob controlo durante qualquer período de tempo. Ninguém foi acusado e, de acordo com o registo público aqui resumido, nenhum regulador tinha publicado conclusões específicas sobre este incidente.

O que está estabelecido é menor e mais útil do que as manchetes: um agente de suporte recebeu acesso de escrita ao único campo que decide quem é o proprietário de uma conta, a verificação de que o solicitante era o proprietário ficava em outro caminho de código e não foi executada, e era possível convencer o agente a ignorá-la com uma frase. O próprio documento da Meta diz que a ferramenta "funcionou corretamente e operou como previsto". Esse é o achado. A falha estava na arquitetura ao redor dela.