Durante el pasado fin de semana, la compañía tecnológica Meta enfrentó un incidente de seguridad en el que diversos Hackers utilizaron su propio chatbot de inteligencia artificial (IA) para comprometer cuentas de la red social Instagram.
El fallo no se originó por un hackeo a los servidores internos de la empresa ni por el uso de malware complejo, sino por una vulnerabilidad en la lógica del asistente automatizado de soporte.
Este sistema permitió cambiar las direcciones de correo electrónico asociadas a los perfiles sin realizar las validaciones de identidad requeridas, afectando tanto a usuarios anónimos como a cuentas institucionales y de figuras públicas. Meta confirmó el ciberataque el lunes, asegurando que la vulnerabilidad ya fue corregida y que se implementaron medidas para proteger los perfiles afectados.
LEA TAMBIÉN
Hackeo a Instagram utilizando la IA de Meta Foto:Captura de pantalla
La vulnerabilidad se localizó en las funciones operativas del chatbot de IA que Meta integró a principios de este año en Facebook e Instagram. Este asistente cuenta con facultades para ejecutar acciones en nombre del usuario, tales como reportar fraudes, gestionar suplantaciones de identidad y tramitar el restablecimiento de contraseñas.
De acuerdo con capturas de pantalla y videos difundidos en redes sociales por expertos en seguridad y grupos de análisis informático, el método empleado no requirió de contraseñas previas ni de software malicioso.
LEA TAMBIÉN
Hackeo a Instagram utilizando la IA de Meta Foto:Captura de pantalla
Los atacantes iniciaron conversaciones con el asistente virtual dentro del flujo normal de recuperación de cuentas y solicitaron la vinculación del perfil de la víctima a una nueva dirección de correo electrónico.
El chatbot procesó la solicitud y procedió a enviar el código de verificación directamente a la bandeja de entrada del solicitante. Con dicho código, los atacantes restablecieron las credenciales de acceso, tomando el control total del perfil y bloqueando a los usuarios originales. Para evadir las alertas automáticas de seguridad de la plataforma, los perpetradores emplearon redes virtuales privadas (VPN) con el objetivo de falsear su ubicación geográfica y simular proximidad con los titulares legítimos.
LEA TAMBIÉN
El incidente comprometió la seguridad de una cantidad no especificada de usuarios. Entre los perfiles afectados se encuentran cuentas destacadas como la de Barack Obama correspondiente a su periodo en la Casa Blanca (inactiva desde el año 2017), la de la firma de cosméticos Sephora, la del alto funcionario de la Fuerza Espacial estadounidense John Bentivegna, y la de la especialista en seguridad informática Jane Wong.
Meta emitió una declaración oficial este lunes en la que confirmó la existencia del ataque y su posterior resolución. “El problema ha sido ya solventado y estamos protegiendo las cuentas afectadas”, argumentó la corporación. Asimismo, la firma aclaró que no se produjo ninguna brecha en sus sistemas internos ni en el backend, manteniendo la integridad general de los servidores de Instagram. Hasta el momento, Meta no ha revelado la cifra exacta de las cuentas que resultaron expuestas durante el fin de semana.
¿Cómo proteger su cuenta?
1. Active la autenticación en dos pasos (2FA) con una app externa
Los atacantes suelen intentar redirigir los códigos SMS o correos electrónicos. Si configura la autenticación de doble factor utilizando una aplicación de autenticación (como Google Authenticator o Duo Mobile), el sistema le pedirá un código numérico que cambia cada 30 segundos y que solo existe en tu teléfono físico.
Vaya a su perfil > Configuración y privacidad >Centro de cuentas > Contraseña y seguridad>Autenticación en dos pasos.
2. Descargue y guarde sus códigos de recuperación
Cuando activa la autenticación en dos pasos, Instagram le proporciona una lista de códigos de respaldo únicos. Si un atacante intenta cambiar sus datos de contacto o se quedas sin acceso a tu teléfono, estos códigos son su última línea de defensa para recuperar el control sin tener que pasar por el chatbot de soporte. Guárdelos en un lugar seguro y fuera de tu dispositivo (como un bloc de notas físico).
3. Utilice la función de “Comprobación de seguridad”
Instagram cuenta con una herramienta interna diseñada específicamente para guiarlo en la protección de su perfil. Le permite revisar de un vistazo si tu correo electrónico y número de teléfono celular siguen siendo los correctos, y le ayuda a actualizar su contraseña por una que sea fuerte (combinando mayúsculas, minúsculas, números y símbolos) y que no uses en ninguna otra plataforma.
4. Monitoree los inicios de sesión activos: revise con frecuencia qué dispositivos tienen acceso a tu cuenta. Si ve una ubicación extraña o un teléfono que no reconoce (incluso si intentaron usar una VPN, el historial registrará el nuevo dispositivo), puede cerrar la sesión de forma remota inmediatamente.
En Centro de cuentas > Contraseña y seguridad, seleccione ‘Dónde iniciaste sesión’ para auditar los accesos.