20 000 comptes Instagram piratés via son propre outil IA de récupération !
L’entreprise a officiellement chiffré l’impact de la faille exploitée dans son système d’aide à la récupération de comptes. Selon une notification adressée aux autorités, environ 20 225 profils ont été exposés après que des attaquants ont détourné des liens de réinitialisation de mot de passe.
Meta a levé le voile sur l’ampleur réelle de la brèche qui a touché son dispositif de support automatisé pour Instagram. Une semaine après les premières alertes, le géant des réseaux sociaux confirme, dans un document adressé au procureur général du Maine, que l’exploit a permis à des individus non autorisés de modifier des mots de passe. Selon les informations de Bleeping Computer, qui suit cette affaire, 20 225 comptes Instagram auraient ainsi pu être compromis.
La vulnérabilité se situe au sein de High Touch Support, un outil d’assistance à la récupération de comptes assisté par intelligence artificielle. Contrairement à une simple manipulation d’un chatbot via un VPN, l’attaque reposait sur un défaut plus technique dans le parcours de validation.
Meta précise avoir détecté le problème le 31 mai 2026, mais les faits remontent au 17 avril, suggérant que la faille est restée accessible pendant plusieurs semaines.
Le mode opératoire est le suivant : lorsqu’un utilisateur n’a plus accès à son profil, High Touch Support peut envoyer un lien de réinitialisation. Or, un bug dans une partie du code empêchait la vérification correcte de l’adresse e-mail fournie. Le système était donc capable d’expédier ce lien vers une adresse n’appartenant pas au compte visé. Un attaquant pouvait ainsi indiquer sa propre adresse e-mail, demander la récupération d’un compte tiers, recevoir le lien, puis modifier le mot de passe. Si la double authentification n’était pas activée, il pouvait alors s’emparer du profil.
En réaction, Meta indique avoir sécurisé les comptes concernés pour bloquer tout accès non autorisé ultérieur. L’entreprise a désactivé l’outil High Touch Support, annulé tous les liens générés par ce système, et soumis les profils potentiellement touchés à une vérification de sécurité obligatoire. Les personnes concernées doivent désormais changer leur mot de passe et se réauthentifier pour retrouver l’accès à leur compte.
Avant toute remise en service de l’outil, Meta promet de corriger la faille dans la vérification des adresses e-mail lors de la procédure de récupération Instagram. L’entreprise prévoit également d’inspecter d’éventuelles vulnérabilités similaires sur ses autres plateformes.
