Un fallo en el chatbot de soporte de Meta permitió a ciberdelincuentes tomar el control de cientos, y posiblemente miles, de cuentas de Instagram durante los últimos días de mayo y los primeros de junio de 2026. Lo publicó por primera vez KrebsOnSecurity el 1 de junio, y entre las cuentas comprometidas figuraban el perfil inactivo de la Casa Blanca de la era Obama y la cuenta de un sargento de la Fuerza Espacial de Estados Unidos.
El método era sorprendentemente sencillo. Los atacantes no necesitaron recurrir a virus, correos falsos ni técnicas de phishing. Bastaba con convencer al chatbot de que eran los propietarios legítimos de una cuenta y solicitar que se vinculara a una nueva dirección de correo electrónico. El sistema aceptaba la petición, enviaba un código de verificación al correo fraudulento y, en cuestión de minutos, la cuenta cambiaba de manos. Algunos atacantes refinaban la técnica usando una VPN para simular que se encontraban en la misma ubicación geográfica que la víctima, lo que ayudaba a superar los controles de verificación contextual del bot.
El problema no estaba en los servidores de Meta. El fallo era de lógica en el flujo del asistente: el chatbot ejecutaba acciones sensibles, como cambiar el correo de recuperación o enviar enlaces de restablecimiento de contraseña, basándose únicamente en la conversación, sin verificaciones adicionales de identidad.
Meta reconoció la existencia del fallo y aplicó un parche a finales de mayo de 2026, aunque se abstuvo de facilitar el número exacto de cuentas afectadas. Las cuentas que tenían activada la autenticación en dos pasos mediante una aplicación no fueron vulneradas durante los ataques.
Los expertos en ciberseguridad recuerdan que activar la verificación en dos pasos con aplicaciones como Google Authenticator o Authy, y no con SMS, es la medida más eficaz para evitar este tipo de ataques. El incidente pone en evidencia los riesgos de delegar procesos críticos de verificación de identidad en sistemas de inteligencia artificial sin controles humanos paralelos.
