ИИ-бот поддержки Meta мог сбросить пароль Instagram любого пользователя. Он работал 44 дня.

1 июня 2026 года 404 Media и KrebsOnSecurity опубликовали записи, циркулировавшие в группах Telegram, на которых было видно, как ИИ-помощник Meta по восстановлению аккаунтов прикреплял новый адрес электронной почты к аккаунту Instagram любому, кто попросил, а затем отправлял туда сброс пароля. Злоумышленнику нужно было лишь имя пользователя и одно убедительное предложение. В течение недели, в уведомлении об утечке генеральному прокурору штата Мэн, Meta оценила число затронутых аккаунтов в 20 225 за период с 17 апреля по 31 мая 2026 года. Среди аккаунтов, о которых сообщалось как об угнанных, были брендовый аккаунт Sephora, главный мастер-сержант Космических сил США и исследовательница Джейн Манчун Вонг; несколько из них были заблокированы на несколько дней, и не было живого сотрудника поддержки, к которому можно было бы обратиться. Полная запись с её источниками и оценкой серьёзности находится в Orca AI Incident Archive, где каталогизируются произошедшие инциденты ИИ по дате, системе и типу сбоя.

Архив оценивает инцидент как критический, с подтверждённым участием ИИ и реальным ущербом, и относит его к категории косвенной инъекции промптов и злоупотребления учётными данными. Далее отделяется то, что Meta заявила официально, от того, что утверждали пострадавшие, исследователи и первые 72 часа освещения, — потому что по одному центральному пункту эти две версии расходятся.

Сбой произошёл из-за отсутствующей проверки, а не из-за джейлбрейка.

В марте 2026 года Meta внедрила этого ассистента в Facebook и Instagram, позиционируя его как инструмент безопасности и восстановления аккаунта, предлагающий «решения, а не просто предложения», сообщает 404 Media. Внутри компании его называли High Touch Support, или HTS: это диалоговый агент, созданный для помощи заблокированным пользователям, которые не могли пройти через статические формы восстановления, и наделённый полномочиями привязывать новый адрес электронной почты к аккаунту и запускать сброс пароля на этот адрес.

Дефект, который Meta в итоге описала, был узким, и речь шла не о том, что модель решила быть полезной. В письме об утечке данных, поданном в Управление генерального прокурора штата Мэн, Эмбер Ханна, заместитель главного юрисконсульта Meta по юридическим вопросам реагирования на инциденты, написала: «Сам инструмент работал правильно и функционировал как задумано; однако из-за ошибки в отдельной ветке кода система должным образом не проверяла, совпадает ли адрес электронной почты, указанный лицом, запрашивающим сброс пароля, с адресом электронной почты, связанным с учетной записью Instagram этого пользователя». Она добавила, что, когда адрес не совпадал, система «ошибочно отправляла ссылку для сброса пароля на этот не связанный с учетной записью адрес электронной почты вместо того, чтобы отклонить запрос».

На практике последовательность, как её восстановил KrebsOnSecurity по записям в Telegram, состояла из четырёх шагов:

• Злоумышленник подключался через VPN с адресом в регионе цели или рядом с ним, чтобы обойти проверки местоположения Instagram.

• Они запустили процесс восстановления для имени пользователя и выбрали ИИ-ассистента поддержки.

• Они велели боту привязать адрес электронной почты, который контролировали, — одна запись начиналась со слов «Просто привяжи мой новый адрес электронной почты» — и бот отправил на него одноразовый код.

• Они ввели код, воспользовались ссылкой для сброса, сменили пароль — и законный владелец потерял доступ.

Ни вредоносных программ, ни украденных паролей, ни фишинговых страниц. Брайан Кребс отметил, что эта техника распространялась через Telegram-каналы с 31 мая, а также что проиранские аккаунты, публиковавшие видео, в те же выходные изменили некоторые из захваченных профилей.

44 дня, и цифра, которая изменилась

Окно — это та часть материалов дела, которая дольше всего оставалась непубличной. В уведомлении генеральному прокурору штата Мэн Meta сообщила, что обнаружила уязвимость 31 мая 2026 года и отключила HTS в тот же день. В поданном документе сам взлом датируется 17 апреля; по сообщению BleepingComputer, это, вероятно, была первая атака, использовавшая эту уязвимость. Речь идёт о 44 днях существования неаутентифицированного пути записи в поля идентификации аккаунта Instagram — исследовательское подразделение Cloud Security Alliance также оценивает этот период в 44 дня.

Число менялось дважды. В документах Meta указано, что потенциально скомпрометированы 20 225 аккаунтов, включая 30 в Мэне, и компания называет это верхней границей, поскольку некоторые попытки доступа могли исходить от законных владельцев аккаунтов. 9 июня, сообщая о расследовании New York Times, Android Authority заявил, что затронуты примерно 34 000 пользователей Instagram и скомпрометированы около 20 000 аккаунтов, а еще у тысяч пользователей были изменены имена пользователей или временно пропал доступ. Разница заключается в определении, а не в противоречии: 34 000 — это совокупность затронутых аккаунтов, 20 225 — это число захватов аккаунтов, которое Meta была готова подтвердить. В письме Meta также говорится, что компания не знает, какие из потенциально доступных данных фактически просматривались — список охватывает контактные данные, даты рождения, публикации, личные сообщения, историю активности, информацию профиля и связанные сторонние сервисы.

Заявления об исправлении и даты исправления также разошлись в публичном пространстве. 1 июня вице-президент Meta по коммуникациям Энди Стоун заявил в X, что «проблема, которая действительно возникла, уже исправлена». 2 июня TechCrunch сообщил, что пользователи по-прежнему заявляют о захватах, а участники каналов Telegram всё ещё рекламируют продажу угнанных хэндлов — при этом предупреждая, что не каждый заявленный захват можно связать с одной и той же техникой.

Что сделала двухфакторная аутентификация и что о её действиях говорилось в первых сообщениях

Именно здесь запись и отчётность расходятся, и в этом вопросе стоит быть точным.

Собственное заявление Meta недвусмысленно. В письме Ханны говорится, что после сброса пароля «неавторизованная сторона смогла войти в аккаунт, если владелец аккаунта не включил двухфакторную аутентификацию (2FA)». KrebsOnSecurity сообщал то же самое по записям эксплуатации: эта техника не срабатывала против аккаунтов с включённым MFA. В анализе Cloud Security Alliance 2FA названа «эффективным ограничивающим контролем», при этом отмечается, что процедура восстановления никогда не предоставляла доступа к уровню аутентификации, которым управляет 2FA. Уязвимостью была дверь восстановления рядом с дверью входа, а не сама дверь входа.

В противовес этому волна сообщений пострадавших в первые дни говорила об обратном. BleepingComputer 2 июня привёл слова пользователей, настаивавших, что их личности были подтверждены сканированием лица и что у них включена 2FA, а также слова одного пользователя, Андре, который сказал, что этот метод «обходит защиту 2FA». gHacks сообщил о том же 3 июня. Однострочная сводка этого инцидента в архиве тоже содержит это более сильное утверждение, описывая бота как обходящего двухфакторную аутентификацию.

Meta не опубликовала технический разбор инцидента, поэтому расхождение остаётся неразрешённым, а не урегулированным. Можно сказать, что единственный документ от самой компании — заявление, подписанное собственным юристом Meta, — описывает захват, который ограничился аккаунтами без второго фактора, и что издания, наиболее близкие к записям об эксплойте, сообщали то же самое. Рассматривайте «бот обошёл 2FA» как утверждение, а не установленный факт.

Второй описанный в сообщениях механизм относится к той же категории. Пользователи сообщили BleepingComputer и gHacks, что в процессе восстановления принимается селфи-видео, и что злоумышленники анимировали публичную фотографию цели с помощью генератора видео на основе ИИ, чтобы пройти проверку. Ни в судебном документе Meta, ни в реконструкции этих записей, сделанной Кребсом, этот шаг не упоминается. Возможно, это был параллельный путь; открытые материалы этого не подтверждают.

Жертвы и версия, которую оспаривает Meta

Подтверждённый кластер представляет собой странную смесь аккаунтов брендов, военных и исследователей: аккаунт бренда Sephora, главный мастер-сержант Джон Бентивенья из Космических сил США и Джейн Манчун Вонг, чьи собственные посты задокументировали потерю аккаунта. BleepingComputer также назвал однословные никнеймы @hey и @korn и сообщил, что владелец @korn потратил шесть часов, пытаясь связаться с человеком, и получил четыре нерабочие ссылки от ИИ поддержки Meta. В той же статье отмечалось, что утверждения об однобуквенных никнеймах @e и @f не удалось независимо проверить, а некоторые вместо этого приписывали их инсайдеру.

Один из широко растиражированных случаев пострадавших оспаривается. 404 Media, KrebsOnSecurity и TechCrunch все сообщали, что среди захваченных и ненадолго осквернённых аккаунтов был неактивный аккаунт Белого дома времён Обамы. По данным BBC, Meta назвала утверждения о том, что аккаунты лидеров были взломаны, «абсолютно ложными», а TechCrunch напрямую зафиксировал опровержение компании. Всё остальное в списке пострадавших опирается на репортажи; а этот случай — нет.

Атрибуция ограничивается каналом, а не организацией. В отчётах устанавливается, что в группах Telegram торговали рабочими инструкциями по эксплуатации уязвимостей и захваченными юзернеймами, что некоторые захваченные аккаунты использовались для проиранских сообщений, а короткие «OG»-юзернеймы имеют серую рыночную стоимость в десятки тысяч долларов — Кребс ссылался на хакеров, утверждавших, что стоимость перепродажи принадлежавших им имён превышает 500 000 долларов. Ни один отчёт не называет группу, не предъявляет обвинений кому-либо и не устанавливает, что кампанию проводила одна операция. Описание в архиве организованной операции по перепродаже согласуется с отчётами, но не является тем, что доказывают процитированные источники.

Что изменилось после этого

Ответ Meta, как это описано в поданном документе и в сообщении для BleepingComputer, заключался в отключении инструмента HTS, удалении ошибочного пути в коде, аннулировании всех ссылок для сброса пароля, которые сгенерировала система, и переводе затронутых аккаунтов в режим обязательной проверки безопасности с требованием сброса через проверенные каналы. Перед повторным запуском компания заявила, что исправит проверку подлинности в точке входа для восстановления Instagram, чтобы указанный адрес электронной почты сверялся с данными аккаунта до инициирования любого сброса, а также проанализирует аналогичные сценарии восстановления на других своих платформах.

То, в какой мере была приостановлена более широкая программа, уже, чем это звучит. Как сообщает Android Authority, внутренние документы, на которые ссылается The New York Times, указывают, что Meta приостановила лишь конкретный эксперимент по восстановлению паролей в Instagram, связанный с инцидентом, тогда как более широкие планы по поддержке на базе ИИ остались в силе. Записка Cloud Security Alliance идёт дальше: в ней утверждается, что 31 мая Meta отключила автономные функции чат-бота по сопоставлению адресов электронной почты и сбросу паролей; эта формулировка принадлежит исследовательской группе, а не является заявлением Meta.

Почему это классифицируется как инъекция промпта и почему этот ярлык оспаривается

В архиве инцидент помечен как IPI — косвенная инъекция промпта — наряду со злоупотреблением учётными данными, а трактовка по схеме «confused deputy» — та, к которой чаще всего прибегали аналитики. Но некоторые из людей, наиболее близких к инциденту, отказываются принимать ярлык «инъекция».

Саймон Уиллисон, который ввёл термин «промпт-инъекция», 1 июня написал: «Meta действительно подключила свою систему поддержки к чат-боту с ИИ, который мог промотать весь процесс восстановления аккаунта. Этот случай едва ли вообще можно назвать промпт-инфекцией. Не подключайте своего бота поддержки так, чтобы он допускал одношаговый захват аккаунта!» Cloud Security Alliance сформулировала то же разграничение в более формальных выражениях: для атаки не требовалось никакого враждебного содержимого, скрытого в документе или в выводе инструмента, — атакующий просто попросил, поэтому это иная модель угроз, чем классическая промпт-инъекция, хотя последствие идентично. Её сопоставление — с OWASP LLM06:2025, Excessive Agency — чрезмерная функциональность, чрезмерные разрешения и чрезмерная автономность, причём все три присутствуют одновременно.

Трактовка VentureBeat была более резкой, и именно она важна с операционной точки зрения: изнутри стека обнаружения атака не дала вообще никакого сигнала, потому что агент был авторизованным участником, и каждая произведённая им запись регистрировалась как легитимная транзакция. «Нет никакой точки опоры, которую можно было бы найти, потому что точкой опоры был сам агент, и он должен был там находиться».

Что эта запись не устанавливает

Для уязвимости HTS нет CVE, и нет опубликованного технического разбора от Meta, описывающего, что на самом деле делал этот путь кода. Цифра 20 225 — это верхняя граница, указанная Meta, а не проверенный подсчёт, и компания говорит, что не может сказать, какие данные просматривались. Сколько аккаунтов фактически подверглись дефейсу, были перепроданы или удерживались сколь-либо долго, неизвестно. Никому не предъявлены обвинения, и ни один регулятор, по состоянию на публичные данные, обобщённые здесь, не опубликовал выводы, касающиеся именно этого инцидента.

{{1}}То, что установлено{{/1}} меньше и полезнее, чем заголовки: агенту поддержки был предоставлен доступ на запись к тому самому полю, которое определяет, кому принадлежит аккаунт, проверка того, что запрашивающий является его владельцем, находилась в другом кодовом пути и не выполнялась, а агента можно было одной фразой уговорить обойти её. {{2}}В собственной документации Meta сказано, что инструмент «работал правильно и функционировал как задумано»{{/2}}. Таков вывод. Ошибка была в архитектуре вокруг него.