- Un fallo en la herramienta de recuperación HTS permitió cambiar correos electrónicos sin verificar la identidad real del usuario.
- La cifra de afectados asciende a 34.000 perfiles, incluyendo cuentas de gran relevancia y nombres de usuario muy cotizados.
- Los atacantes utilizaron redes VPN para engañar a la geolocalización del chatbot de soporte de Meta.
- La compañía ha suspendido temporalmente el servicio afectado mientras refuerza sus protocolos de verificación interna.
No es ninguna novedad que la tecnología avanza a pasos agigantados, pero a veces parece que va tan rápido que se deja la seguridad por el camino. Lo que ha ocurrido con Meta estos últimos días es para quedarse de piedra, ya que una herramienta diseñada para ayudar a los usuarios ha terminado siendo su peor enemiga por culpa de un descuido técnico.
Se ha liado una buena con Instagram, y es que un fallo en su sistema de asistencia mediante inteligencia artificial ha permitido que miles de personas pierdan el acceso a sus cuentas en un abrir y cerrar de ojos. La magnitud del problema es tal que ha puesto en entredicho la fiabilidad de estos procesos automatizados que cada vez gestionan más aspectos de nuestra vida digital sin que apenas nos demos cuenta.
Un fallo de lógica que ha salido muy caro a Meta
El epicentro de este desastre se encuentra en el sistema High Touch Support (HTS), una función que utiliza la IA para agilizar la recuperación de perfiles bloqueados. Por lo visto, un error de bulto en una ruta de código independiente impedía que el sistema verificara correctamente la dirección de correo facilitada por quien pedía el cambio de contraseña, permitiendo introducir emails que no tenían nada que ver con el original.
Los ciberdelincuentes se dieron cuenta de la jugada rápidamente y se pusieron manos a la obra durante los meses de abril y mayo. Solo tenían que hablar con el chatbot y convencerle de que eran los dueños legítimos, algo que resultó ser sorprendentemente fácil debido a la autonomía con la que operaba esta inteligencia artificial, la cual no solicitaba los controles de identidad necesarios en el momento crítico.
Para saltarse los controles geográficos, los atacantes utilizaron conexiones VPN, haciendo creer al sistema que estaban físicamente en la misma ubicación que las víctimas. Con este truco, la IA no sospechaba nada extraño y enviaba el enlace de recuperación directamente al correo de los hackers en lugar de proteger al usuario original, dejando el perfil totalmente expuesto en cuestión de minutos.
De cuentas de famosos al mercado negro de nombres de usuario
La cosa no se queda en un simple susto para cuatro usuarios despistados, ya que la lista de afectados es de las que impresionan bastante. Desde la antigua cuenta de Barack Obama hasta perfiles de grandes empresas de seguridad, nadie ha estado a salvo de esta vulnerabilidad que ha circulado como la pólvora por canales de Telegram especializados en el trapicheo de identidades digitales.
El gran problema es que muchos de estos perfiles tienen nombres de usuario muy cortos o asociados a marcas potentes, los llamados «OG handles», que en el mercado negro valen un dineral. Se calcula que unas 3.500 cuentas han cambiado de nombre de forma inmediata tras el robo, lo que dificulta muchísimo que sus dueños originales puedan recuperar sus nombres anteriores de Instagram de forma automática a través de los canales habituales de la plataforma.
Aunque en un principio se pensó que el problema afectaba a unas 20.000 personas, nuevas informaciones de documentos internos apuntan a que la cifra podría ascender a más de 34.000 usuarios. Además de perder el control del perfil, los atacantes habrían tenido acceso a datos sensibles como números de teléfono, fechas de nacimiento y mensajes privados, lo que supone una brecha de privacidad que va a traer cola durante mucho tiempo.
Medidas de seguridad y protección para los usuarios
Meta ya ha cortado por lo sano desactivando la herramienta defectuosa y forzando el restablecimiento de contraseñas en los perfiles afectados para tratar de mitigar el daño. Sin embargo, esto nos recuerda de la peor manera que no podemos fiarlo todo a la IA y que tener activada la autenticación en dos pasos (2FA) mediante aplicaciones externas es, a día de hoy, algo totalmente obligatorio si queremos evitar que nos den el día.
Lo ocurrido deja claro que integrar procesos de seguridad críticos en manos de sistemas automatizados conlleva riesgos lógicos que no siempre se detectan antes de que sea demasiado tarde. A partir de ahora, lo más sensato es revisar periódicamente nuestros accesos, desconfiar de cualquier mensaje extraño sobre cambios de correo y estar muy atentos a las notificaciones oficiales, porque al final del día, la mejor barrera contra estos fallos tecnológicos es nuestra propia precaución y el sentido común al gestionar nuestras redes sociales.
