Una semplice richiesta rivolta all’assistente virtuale di Meta sarebbe stata sufficiente per consentire ad alcuni hacker di impossessarsi di diversi account Instagram. La vicenda, emersa grazie alle segnalazioni di ricercatori di sicurezza e utenti sui social network, ha sollevato nuove preoccupazioni sull’affidabilità dei sistemi di assistenza automatizzati basati sull’intelligenza artificiale.
Secondo le ricostruzioni diffuse online, i malintenzionati avrebbero sfruttato una falla presente nel chatbot di supporto introdotto da Meta per Facebook e Instagram. Invece di utilizzare malware, sofisticate tecniche di hacking o campagne di phishing, sarebbe bastato avviare una conversazione con l’assistente virtuale fingendosi il proprietario dell’account da compromettere.
Il meccanismo segnalato da diversi utenti su piattaforme come Reddit, Telegram e X appare sorprendentemente semplice. L’attaccante contattava il sistema di supporto chiedendo di associare l’account Instagram della vittima a un nuovo indirizzo e-mail sotto il proprio controllo. In alcuni casi venivano utilizzate VPN per simulare la posizione geografica dell’utente reale e rendere più credibile la richiesta.
A quel punto il chatbot, senza effettuare ulteriori verifiche, inviava un codice di conferma all’indirizzo indicato. Dopo aver comunicato il codice ricevuto, l’hacker poteva avviare la procedura di reimpostazione della password, ottenendo di fatto il pieno controllo del profilo.
Alcune verifiche giornalistiche avrebbero confermato che il sistema recapitava effettivamente i codici di verifica agli indirizzi e-mail forniti durante la conversazione con l’assistente virtuale.
Tra gli account che sarebbero stati compromessi figurano profili particolarmente conosciuti, tra cui il vecchio account della Casa Bianca utilizzato durante l’amministrazione Obama e quello del sergente maggiore John Bentivegna della US Space Force.
Anche la ricercatrice di sicurezza Jane Wong ha raccontato di aver subito tentativi non autorizzati di reimpostazione della password del proprio account Instagram. In alcuni casi, secondo le testimonianze raccolte online, gli hacker avrebbero mantenuto il controllo dei profili per diverse ore, pubblicando contenuti e accedendo a informazioni personali.
L’episodio ha alimentato i timori legati alla possibile diffusione di dati privati e conversazioni sottratte agli utenti, informazioni che potrebbero avere un valore elevato nei circuiti illegali del web.
L’incidente riaccende il dibattito sull’impiego dell’intelligenza artificiale nei servizi di supporto clienti, soprattutto quando vengono affidate all’AI operazioni delicate come il recupero degli account o la modifica delle credenziali di accesso.
Meta aveva recentemente ampliato le funzionalità del proprio assistente virtuale, consentendogli di gestire procedure tradizionalmente riservate agli operatori umani. Proprio questa maggiore autonomia operativa avrebbe però reso possibile l’aggiramento dei controlli da parte degli hacker.
Diversi utenti hanno inoltre lamentato difficoltà nel contattare rapidamente personale umano per segnalare il problema e ottenere assistenza immediata.
Dopo le prime denunce pubbliche, Meta non ha rilasciato dichiarazioni ufficiali dettagliate sull’accaduto. Tuttavia, il portavoce di Instagram Andy Stone ha confermato sui social che la vulnerabilità è stata individuata e corretta.
La vicenda rappresenta un ulteriore promemoria delle sfide che accompagnano l’integrazione dell’intelligenza artificiale nei servizi digitali: se da un lato l’automazione può migliorare velocità ed efficienza, dall’altro richiede controlli di sicurezza particolarmente rigorosi quando sono in gioco dati personali e accessi agli account degli utenti.