Wiederherstellungs‑Chatbot schickte Reset‑Links an beliebige E‑Mails; bis zu 20.225 Instagram‑Konten betroffen.
In Kürze
- High Touch Support versandte unprüfbare Links
- Angriffe 17.4.–31.5.2026, max. 20.225 Konten
- Tool deaktiviert, Links ungültig, Zwangs‑Checkpoint
Eine Schwachstelle in Metas KI‑gestütztem Support‑Chatbot hat offenbar bis zu 20.225 Instagram‑Konten kompromittiert.
Der Fehler betraf das Kontowiederherstellungstool „High Touch Support“: Es verschickte Passwort‑Reset‑Links an beliebige E‑Mail‑Adressen, ohne zu prüfen, ob die Adresse wirklich zum jeweiligen Konto gehört.
Zeitlicher Ablauf
Laut Meta liefen die Angriffe zwischen dem 17. April und der Entdeckung am 31. Mai 2026. Das Unternehmen nennt 20.225 als Obergrenze der betroffenen Konten; darunter sollen 30 Konten aus dem US‑Bundesstaat Maine gewesen sein. Meta weist darauf hin, dass manche Zugriffe auch von den legitimen Kontoinhabern selbst ausgegangen sein könnten und die Zahl der unberechtigten Übernahmen damit kleiner ausfällt.
Mögliche betroffene Daten
- Kontaktinformationen
- Geburtsdaten
- Beiträge
- Direktnachrichten
- Kontoaktivitäten
- Profilinformationen
- verknüpfte Dienste
Gleichzeitig betont das Unternehmen, dass es nicht weiß, welche dieser Informationen tatsächlich eingesehen oder kopiert wurden.
Reaktion von Meta
- Der betroffene Chatbot wurde deaktiviert.
- Der fehlerhafte Programmcode wurde entfernt.
- Alle über das System erzeugten Passwort‑Reset‑Links wurden für ungültig erklärt.
- Betroffene Nutzerinnen und Nutzer wurden in einen verpflichtenden Sicherheits‑Checkpoint geleitet.
- Meta fordert diese Kontoinhaber auf, ihre Passwörter über verifizierte Kanäle zu ändern.
Vor einer Wiederinbetriebnahme des Tools will Meta die E‑Mail‑Verifikation im Wiederherstellungsprozess reparieren. Zudem kündigt das Unternehmen an, ähnliche Systeme auf allen Plattformen zu prüfen, um vergleichbare Fehler zu verhindern.
Kontext
Der Vorfall fällt in eine Phase, in der Meta in großem Stil Mitarbeiterinnen und Mitarbeiter entlässt und gleichzeitig stark auf KI‑Technik setzt. Das betroffene Tool war zuvor von Meta als Sicherheitsvorteil beworben worden.
Erstberichte zu dem Vorfall erschienen bei ThisWeekInSecurity; Meta legte die Zahlen in einer Datenschutzmeldung an die Generalstaatsanwaltschaft von Maine offen.
Quellen
- Quelle: Meta
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
