Bot hỗ trợ AI của Meta có thể đặt lại mật khẩu Instagram của bất kỳ ai. Nó đã hoạt động trong 44 ngày.

Vào ngày 1 tháng 6 năm 2026, 404 Media và KrebsOnSecurity đã công bố các bản ghi đang lan truyền trong các nhóm Telegram cho thấy trợ lý khôi phục tài khoản bằng AI của Meta gắn một địa chỉ email mới vào tài khoản Instagram cho bất kỳ ai yêu cầu, rồi gửi thông tin đặt lại mật khẩu đến địa chỉ đó. Kẻ tấn công chỉ cần một tên người dùng và một câu đủ sức thuyết phục. Trong vòng một tuần, trong một thông báo vi phạm gửi tới tổng chưởng lý bang Maine, Meta đưa ra con số phơi nhiễm là 20.225 tài khoản trong khoảng thời gian từ 17 tháng 4 đến 31 tháng 5 năm 2026. Tài khoản thương hiệu của Sephora, thượng sĩ trưởng của Lực lượng Không gian Hoa Kỳ và nhà nghiên cứu Jane Manchun Wong nằm trong số những người được báo cáo là bị chiếm đoạt, một số người trong đó bị khóa ngoài trong nhiều ngày mà không có nhân viên hỗ trợ là người thật nào để khiếu nại. Toàn bộ hồ sơ, cùng các nguồn và xếp hạng mức độ nghiêm trọng, nằm trong Orca AI Incident Archive, nơi lập danh mục các sự cố AI đã xảy ra theo ngày, hệ thống và loại lỗi.

Kho lưu trữ xếp sự cố này ở mức nghiêm trọng, với việc AI can dự đã được xác nhận và tổn hại thực tế, đồng thời phân loại nó vào diện indirect prompt injection và lạm dụng thông tin xác thực. Phần tiếp theo tách bạch những gì Meta đã tuyên bố chính thức với những gì nạn nhân, nhà nghiên cứu và các bài đưa tin trong 72 giờ đầu cáo buộc — bởi ở một điểm mấu chốt, hai bên không đồng thuận.

Thất bại đó là do thiếu một bước kiểm tra, chứ không phải là một vụ jailbreak

Meta đã triển khai trợ lý này trên Facebook và Instagram vào tháng 3 năm 2026, quảng bá nó như một công cụ bảo mật và khôi phục tài khoản mang đến “giải pháp, chứ không chỉ là gợi ý”, theo 404 Media. Nội bộ, nó được gọi là High Touch Support, hay HTS: một tác nhân hội thoại được xây dựng để giúp những người dùng bị khóa tài khoản không thể vượt qua các biểu mẫu khôi phục tĩnh, đồng thời được trao quyền liên kết một địa chỉ email mới với một tài khoản và kích hoạt đặt lại mật khẩu gửi đến địa chỉ đó.

Lỗi mà Meta cuối cùng mô tả là một lỗi hẹp, và đó không phải là việc mô hình quyết định tỏ ra hữu ích. Trong một lá thư thông báo vi phạm dữ liệu gửi lên Văn phòng Tổng chưởng lý bang Maine, Amber Hannah, phó tổng cố vấn phụ trách pháp lý ứng phó sự cố của Meta, viết: “Bản thân công cụ hoạt động đúng và vận hành như dự định; tuy nhiên, do một lỗi trong một luồng mã riêng biệt, hệ thống đã không xác minh đúng rằng địa chỉ email do cá nhân yêu cầu đặt lại mật khẩu cung cấp có khớp với địa chỉ email gắn với tài khoản Instagram của người dùng đó hay không.” Bà nói thêm rằng khi địa chỉ không khớp, hệ thống “đã gửi nhầm liên kết đặt lại mật khẩu đến địa chỉ email không liên kết đó thay vì từ chối yêu cầu”.

Trên thực tế, trình tự mà KrebsOnSecurity tái dựng từ các bản ghi Telegram gồm bốn bước:

• Kẻ tấn công đã kết nối qua VPN với một địa chỉ thuộc hoặc gần khu vực của mục tiêu, nhằm vượt qua các bước kiểm tra vị trí của Instagram.

• Họ đã mở quy trình khôi phục đối với một tên người dùng và chọn trợ lý hỗ trợ AI.

• Họ bảo bot liên kết một địa chỉ email do họ kiểm soát — một bản ghi âm bắt đầu bằng “Chỉ cần liên kết địa chỉ email mới của tôi” — và bot đã gửi mã dùng một lần đến địa chỉ đó.

• Họ đã nhập mã, lấy liên kết đặt lại, thay đổi mật khẩu, và chủ sở hữu hợp pháp đã bị đẩy ra ngoài.

Không có phần mềm độc hại, không có mật khẩu bị đánh cắp, không có trang lừa đảo. Brian Krebs lưu ý rằng kỹ thuật này đã lan truyền qua các kênh Telegram từ ngày 31 tháng 5, và rằng các tài khoản thân Iran đăng video cũng đã chỉnh sửa trái phép một số hồ sơ bị chiếm đoạt vào cuối tuần đó.

44 ngày, và một con số đã thay đổi

Khoảng thời gian này là phần của hồ sơ mất nhiều thời gian nhất để được công khai. Trong thông báo gửi cho tổng chưởng lý bang Maine, Meta cho biết họ phát hiện lỗ hổng vào ngày 31 tháng 5 năm 2026 và đã vô hiệu hóa HTS vào ngày hôm đó. Tài liệu này ghi ngày xảy ra vụ xâm phạm là ngày 17 tháng 4, mà BleepingComputer đưa tin rằng đây có khả năng là cuộc tấn công đầu tiên khai thác lỗ hổng. Đó là 44 ngày tồn tại một đường ghi không yêu cầu xác thực vào các trường nhận dạng tài khoản của Instagram, một khoảng thời gian mà bộ phận nghiên cứu của Cloud Security Alliance cũng xác định là 44 ngày.

Con số đã thay đổi hai lần. Hồ sơ đệ trình của Meta cho biết 20.225 tài khoản có khả năng đã bị xâm phạm, trong đó có 30 tài khoản ở Maine, và công ty mô tả đó là giới hạn trên vì một số nỗ lực truy cập có thể đến từ chính những chủ tài khoản hợp pháp. Vào ngày 9 tháng 6, khi đưa tin về một cuộc điều tra của New York Times, Android Authority cho biết khoảng 34.000 người dùng Instagram bị ảnh hưởng và khoảng 20.000 tài khoản bị xâm phạm, cùng với hàng nghìn tài khoản khác bị đổi tên người dùng hoặc tạm thời mất quyền truy cập. Sự khác biệt nằm ở cách định nghĩa chứ không phải mâu thuẫn: 34.000 là nhóm tài khoản bị tác động, còn 20.225 là số tài khoản bị chiếm đoạt mà Meta sẵn sàng xác nhận. Lá thư của Meta cũng cho biết công ty không biết dữ liệu nào trong số dữ liệu có khả năng bị truy cập đã thực sự bị xem — danh sách bao gồm thông tin liên hệ, ngày sinh, bài đăng, tin nhắn trực tiếp, lịch sử hoạt động, thông tin hồ sơ và các dịch vụ bên thứ ba được liên kết.

Các tuyên bố khắc phục và thời điểm khắc phục cũng dần lệch pha trước công chúng. Ngày 1 tháng 6, Andy Stone, phó chủ tịch truyền thông của Meta, nói trên X rằng “sự cố đã xảy ra thì đã được khắc phục rồi”. Ngày 2 tháng 6, TechCrunch đưa tin người dùng vẫn khẳng định đã chiếm được tài khoản, và các thành viên kênh Telegram vẫn rao bán các tên người dùng bị chiếm đoạt — đồng thời cảnh báo rằng không phải mọi vụ chiếm đoạt được báo cáo đều có thể gắn với cùng một kỹ thuật.

Xác thực hai yếu tố đã làm gì và những báo cáo ban đầu nói nó đã làm gì

Đây là chỗ mà bản ghi và phần báo cáo tách khỏi nhau, và đáng để nói chính xác về điều đó.

Tường trình của chính Meta rất rõ ràng. Lá thư của Hannah nói rằng sau khi đặt lại mật khẩu, “bên không được phép đã có thể đăng nhập vào tài khoản nếu chủ tài khoản chưa bật xác thực hai yếu tố (2FA).” KrebsOnSecurity báo cáo điều tương tự từ các bản ghi vụ khai thác: kỹ thuật này thất bại với các tài khoản đã bật MFA. Phân tích của Cloud Security Alliance gọi 2FA là “biện pháp kiểm soát giới hạn hiệu quả”, lưu ý rằng luồng khôi phục không bao giờ cấp quyền truy cập vào lớp xác thực do 2FA quản lý. Lỗ hổng nằm ở cánh cửa khôi phục bên cạnh cửa đăng nhập, chứ không phải bản thân cửa đăng nhập.

Trái với điều đó, một làn sóng báo cáo của nạn nhân trong những ngày đầu lại nói điều ngược lại. BleepingComputer vào ngày 2 tháng 6 đã dẫn lời những người dùng khẳng định danh tính của họ đã được xác minh bằng quét khuôn mặt và rằng họ đã bật 2FA, đồng thời dẫn lời một người dùng, André, nói rằng phương thức này "vượt qua các biện pháp bảo vệ 2FA". gHacks đưa tin tương tự vào ngày 3 tháng 6. Bản tóm tắt một dòng của kho lưu trữ về sự cố này cũng mang tuyên bố mạnh hơn đó, mô tả bot là vượt qua xác thực hai yếu tố.

Meta chưa công bố bất kỳ phân tích kỹ thuật hậu sự cố nào, nên sự khác biệt vẫn chưa được giải quyết chứ chưa phải đã ngã ngũ. Điều có thể nói là tài liệu duy nhất do chính phía Meta cung cấp — hồ sơ do chính cố vấn pháp lý của Meta ký — mô tả một vụ chiếm đoạt dừng lại ở các tài khoản không có yếu tố xác thực thứ hai, và những cơ quan truyền thông có nguồn tin sát nhất với các bản ghi vụ khai thác cũng đưa tin tương tự. Hãy coi “bot đã vượt qua 2FA” là một tuyên bố, không phải sự thật đã được xác lập.

Cơ chế thứ hai được báo cáo nằm trong cùng danh mục. Người dùng nói với BleepingComputer và gHacks rằng luồng khôi phục sẽ chấp nhận video selfie, và rằng kẻ tấn công đã tạo hoạt ảnh cho một bức ảnh công khai của mục tiêu thông qua trình tạo video AI để vượt qua bước này. Cả hồ sơ của Meta lẫn bản dựng lại các bản ghi của Krebs đều không đề cập đến bước đó. Đó có thể là một đường song song; hồ sơ công khai không xác lập điều đó.

Những nạn nhân, và tài khoản mà Meta phản bác

Cụm tài khoản được xác nhận là sự pha trộn kỳ lạ giữa tài khoản thương hiệu, quân đội và nhà nghiên cứu: tài khoản thương hiệu của Sephora, Chief Master Sergeant John Bentivegna của Lực lượng Không gian Hoa Kỳ, và Jane Manchun Wong, người mà các bài đăng của chính cô đã ghi lại việc mất tài khoản. BleepingComputer cũng nêu tên các tên người dùng một từ @hey và @korn, và đưa tin rằng chủ sở hữu @korn đã dành sáu giờ để cố liên hệ với người thật và nhận được bốn liên kết hỏng từ AI hỗ trợ của Meta. Bài viết tương tự lưu ý rằng những tuyên bố về các tên người dùng một chữ cái @e và @f không thể được xác minh độc lập, trong khi một số người lại cho rằng chúng đến từ một người trong nội bộ.

Một nạn nhân được nhắc đến rộng rãi đang gây tranh cãi. 404 Media, KrebsOnSecurity và TechCrunch đều đưa tin rằng một tài khoản không còn hoạt động của Nhà Trắng thời Obama nằm trong số những tài khoản bị chiếm và bị chỉnh sửa nội dung trong thời gian ngắn. Theo BBC, Meta gọi các tuyên bố rằng tài khoản của các nhà lãnh đạo bị xâm phạm là "hoàn toàn sai sự thật", và TechCrunch đã ghi nhận trực tiếp sự phản bác của công ty. Mọi mục khác trong danh sách nạn nhân đều có cơ sở từ các đưa tin; riêng trường hợp đó thì không.

Việc quy kết chỉ dừng ở kênh, chứ không ở một tổ chức. Các báo cáo xác lập rằng hướng dẫn khai thác lỗ hổng còn hoạt động được và các tên người dùng bị chiếm đoạt đã được mua bán trong các nhóm Telegram, rằng một số tài khoản bị thu giữ được dùng để nhắn tin ủng hộ Iran, và rằng các tên người dùng ngắn "OG" có giá trị thị trường xám hàng chục nghìn đô la — Krebs dẫn lời các hacker khẳng định giá trị bán lại trên 500.000 đô la đối với những tên mà họ nắm giữ. Không có báo cáo nào nêu tên một nhóm, buộc tội bất kỳ ai, hoặc xác lập rằng một hoạt động duy nhất đã điều hành chiến dịch này. Mô tả của kho lưu trữ về một hoạt động bán lại có tổ chức là phù hợp với các báo cáo nhưng không phải là điều mà các nguồn được dẫn chứng minh.

Điều gì đã thay đổi sau đó?

Phản hồi của Meta, như được mô tả trong hồ sơ và với BleepingComputer, là vô hiệu hóa công cụ HTS, loại bỏ đường dẫn mã bị lỗi, làm mất hiệu lực mọi liên kết đặt lại mật khẩu mà hệ thống đã tạo và đưa các tài khoản bị ảnh hưởng vào một trạm kiểm soát an ninh bắt buộc yêu cầu đặt lại thông qua các kênh đã xác minh. Trước khi khởi chạy lại, công ty cho biết sẽ sửa bước kiểm tra xác thực tại điểm vào khôi phục của Instagram để email được cung cấp được xác minh với hồ sơ tài khoản trước khi bất kỳ quá trình đặt lại nào được bắt đầu, và sẽ xem xét các luồng khôi phục tương tự trên các nền tảng khác của mình.

Mức độ bị tạm dừng của chương trình rộng hơn thực tế hẹp hơn nghe có vẻ. Các tài liệu nội bộ được New York Times trích dẫn cho thấy Meta chỉ tạm dừng thử nghiệm khôi phục mật khẩu Instagram cụ thể gắn với sự cố, trong khi vẫn duy trì các kế hoạch hỗ trợ rộng hơn do AI điều khiển, Android Authority đưa tin. Ghi chú của Cloud Security Alliance còn đi xa hơn, nêu rằng Meta đã vô hiệu hóa khả năng tự động liên kết email và đặt lại mật khẩu của chatbot vào ngày 31 tháng 5; cách mô tả đó là của nhóm nghiên cứu, không phải tuyên bố của Meta.

Tại sao nó được phân loại là prompt injection, và tại sao nhãn này vẫn gây tranh cãi

Kho lưu trữ gắn nhãn sự cố là IPI — chèn lệnh gián tiếp — cùng với việc lạm dụng thông tin xác thực, và cách diễn giải “confused deputy” là cách mà hầu hết các nhà phân tích nghĩ tới. Nhưng một số người ở gần sự việc nhất lại phản đối nhãn chèn lệnh.

Simon Willison, người đặt ra thuật ngữ prompt injection, đã viết vào ngày 1 tháng 6: “Meta thực sự đã đấu nối hệ thống hỗ trợ của họ vào một chatbot AI có khả năng tua nhanh qua toàn bộ quá trình khôi phục tài khoản. Trường hợp này thậm chí gần như không đủ điều kiện để được coi là một ca prompt infection. Đừng đấu nối bot hỗ trợ của bạn theo cách cho phép chiếm đoạt tài khoản chỉ trong một bước!” Cloud Security Alliance đưa ra sự phân biệt tương tự bằng ngôn ngữ trang trọng hơn: cuộc tấn công không yêu cầu nội dung đối kháng nào bị giấu trong tài liệu hay đầu ra của công cụ; kẻ tấn công chỉ đơn giản yêu cầu, vì vậy đây là một mô hình mối đe dọa khác với prompt injection cổ điển dù hậu quả là giống hệt. Việc ánh xạ của tổ chức này là tới LLM06:2025 của OWASP, Excessive Agency — chức năng quá mức, quyền hạn quá mức và quyền tự chủ quá mức, cả ba đều hiện diện cùng lúc.

Cách nhìn nhận của VentureBeat thẳng thừng hơn và là điều quan trọng về mặt vận hành: từ bên trong một ngăn xếp phát hiện, cuộc tấn công không tạo ra bất kỳ tín hiệu nào, bởi vì tác nhân là một chủ thể được ủy quyền và mọi thao tác ghi mà nó thực hiện đều được ghi nhận là một giao dịch hợp lệ. “Không có chỗ bám nào để tìm, vì tác nhân chính là chỗ bám, và nó lẽ ra phải ở đó.”

Những gì hồ sơ này không xác lập

Không có CVE nào cho lỗ hổng HTS, và không có bài viết kỹ thuật nào được Meta công bố mô tả đường mã thực sự đã làm gì. Con số 20.225 là giới hạn trên của Meta, không phải số liệu đã được kiểm toán, và công ty nói rằng họ không thể nói dữ liệu nào đã bị xem. Số lượng tài khoản thực sự bị thay đổi trái phép, bị bán lại hoặc bị giữ trong bất kỳ khoảng thời gian nào là không rõ. Không ai bị khởi tố, và tính đến hồ sơ công khai được tóm tắt ở đây, không có cơ quan quản lý nào công bố các phát hiện riêng liên quan đến sự cố này.

Điều được xác lập thì nhỏ hơn và hữu ích hơn các tiêu đề: một nhân viên hỗ trợ được cấp quyền ghi vào đúng trường quyết định ai sở hữu một tài khoản, bước kiểm tra rằng người yêu cầu sở hữu tài khoản đó nằm ở một luồng mã khác và đã không chạy, và nhân viên đó có thể bị thuyết phục bỏ qua nó chỉ bằng một câu. Hồ sơ của chính Meta nói rằng công cụ này "đã hoạt động đúng và vận hành như dự định". Đó là phát hiện. Lỗi nằm ở kiến trúc xung quanh nó.