AI Meta wykorzystane do kradzieży kont na Instagramie. Jak się bronić?

Na początku czerwca 2026 roku grupa użytkowników Instagrama straciła dostęp do swoich kont po tym, jak atakujący wykorzystali sztuczną inteligencję Meta do obejścia procedur weryfikacyjnych. Ofiary, w tym posiadacze rzadkich, jednoznakowych nazw użytkowników, zgłosiły, że mimo włączonego uwierzytelniania dwuskładnikowego (2FA) nie były w stanie odzyskać dostępu. Incydent pokazuje, jak zaawansowane techniki deepfake mogą przełamać nawet pozornie bezpieczne mechanizmy ochrony.

Jak wyglądał atak?

Według raportu BleepingComputer atak rozpoczynał się od uruchomienia procedury „zapomniałem hasła”. Gdy asystent AI Meta prosił o weryfikację za pomocą selfie, napastnik pobierał zdjęcie ofiary z jej profilu, przepuszczał je przez generator wideo AI i przesyłał do Meta jako animację. „Meta’s AI just accepts it because it can’t tell the difference between a real selfie and an AI-generated video of someone’s face” – skomentował jeden z poszkodowanych, użytkownik o pseudonimie André. W ten sposób atakujący zmieniali adres e-mail powiązany z kontem, a następnie resetowali hasło.

Co istotne, procedura omijała uwierzytelnianie dwuskładnikowe. Ofiary zgłaszały, że 2FA było włączone, ale nie zadziałało, ponieważ zmiana adresu e-mail odbywała się przez interfejs pomocy technicznej, który nie wymagał dodatkowego potwierdzenia. Ponadto niektórzy napastnicy używali VPN, aby symulować połączenie z regionu ofiary, co pozwalało uniknąć alertów geolokalizacyjnych.

Dlaczego AI Meta stało się słabym punktem?

Problem leży w automatyzacji procesu odzyskiwania konta. Meta od dłuższego czasu zastępuje ludzkich konsultantów chatbotami i asystentami AI, które mają przyspieszyć obsługę. W tym przypadku jednak system nie był w stanie odróżnić prawdziwego selfie od wygenerowanego deepfake’a. „I spent 6 hours trying to get human support, and Meta’s support AI gave me 4 broken links in a row” – relacjonował właściciel konta @korn, które nigdy nie zostało oficjalnie przejęte przez zespół muzyczny. „We’re at the point where one AI stole it, and another can’t fix it, zero humans in the loop anywhere” – dodał.

Wiceprezes Meta ds. komunikacji, Andy Stone, odpowiedział na skargi w mediach społecznościowych, zapewniając, że „problem został rozwiązany, a konta są zabezpieczane”. Firma nie opublikowała jednak oficjalnego oświadczenia ani nie wyjaśniła, jak doszło do naruszenia. Brak szczegółów utrudnia ocenę skali incydentu – wiadomo jedynie, że celem były konta o wysokiej wartości, w tym należące do znanych osób i marek.

Jak chronić swoje konto na Instagramie?

Choć atak wykorzystuje lukę po stronie Meta, użytkownicy mogą podjąć kilka kroków, aby zmniejszyć ryzyko przejęcia konta:

• Włącz uwierzytelnianie dwuskładnikowe (2FA) – najlepiej z aplikacją uwierzytelniającą, a nie SMS-em. Mimo że w tym przypadku 2FA zostało ominięte, wciąż stanowi podstawową barierę dla większości ataków.
• Nie udostępniaj publicznie zdjęć twarzy w wysokiej rozdzielczości – deepfake’i są tworzone na podstawie dostępnych materiałów. Im mniej danych, tym trudniej je sfałszować.
• Monitoruj logowania i powiadomienia – Instagram wysyła alerty o próbach zmiany adresu e-mail lub hasła. Reaguj natychmiast, jeśli otrzymasz podejrzane powiadomienie.
• Używaj silnego, unikalnego hasła i nie powtarzaj go na innych serwisach. W razie wycieku danych z innej platformy hasło do Instagrama pozostanie bezpieczne.
• Rozważ dodanie dodatkowej warstwy ochrony – np. ustawienie kontaktów zaufanych (trusted contacts) lub korzystanie z funkcji „Instagram Protect” dla kont o dużym zasięgu.

Co dalej?

Incydent z Instagramem to kolejny sygnał, że sztuczna inteligencja, choć ułatwia codzienne korzystanie z usług, może być również bronią w rękach cyberprzestępców. Meta zapowiedziała poprawki, ale na razie nie wiadomo, czy zmiany obejmą przywrócenie ludzkiego wsparcia w procesie odzyskiwania kont. Użytkownicy powinni zachować czujność i regularnie sprawdzać ustawienia bezpieczeństwa. W przypadku podejrzenia przejęcia konta warto jak najszybciej skontaktować się z pomocą techniczną – choć, jak pokazuje ten przypadek, może to być trudne bez bezpośredniej interwencji człowieka.