- Un error en el chatbot de soporte facilitó el cambio de correos electrónicos asociados sin validación real.
- Más de 20.000 usuarios han sido víctimas de este fallo, afectando especialmente a perfiles con nombres cortos y de alto valor.
- Los atacantes utilizaron herramientas de inteligencia artificial y redes VPN para saltarse las medidas de protección habituales.
- La compañía ha desactivado temporalmente el servicio afectado mientras implementa sistemas de verificación más robustos.
Parece que los avances tecnológicos a veces nos juegan una mala pasada, y esta vez le ha tocado sufrir a la empresa de Mark Zuckerberg. Lo que en principio se diseñó como un asistente de ayuda basado en inteligencia artificial para facilitar la vida a los usuarios de Instagram, ha terminado siendo el caballo de Troya que ha permitido un robo de cuentas a una escala bastante preocupante.
El problema ha saltado a la palestra tras conocerse que miles de personas han perdido el acceso a sus perfiles de la noche a la mañana, dejando a muchos con un palmo de narices al ver que sus fotos y contactos estaban en manos de desconocidos. Este incidente pone sobre la mesa el eterno debate sobre si estamos automatizando funciones demasiado críticas sin tener bajo control todos los posibles agujeros que los ciberdelincuentes están deseando encontrar.
¿Cómo se produjo este coladero en el sistema de Meta?
Todo comenzó con la implementación de un nuevo sistema de soporte, denominado internamente como High Touch Support, que pretendía agilizar la recuperación de cuentas mediante un chatbot inteligente. Sin embargo, los atacantes descubrieron que este asistente era excesivamente confiado y permitía modificar el correo electrónico de recuperación con solo pedírselo, sin realizar las comprobaciones de identidad que cualquiera de nosotros esperaría de una empresa de este calibre.
Para rizar más el rizo, los delincuentes no necesitaban ser unos genios de la informática, ya que el método se difundió como la pólvora a través de canales de Telegram. Utilizando conexiones VPN para simular que estaban en la misma ciudad que la víctima, lograban que la IA de Meta bajara la guardia y les entregara las llaves del perfil en cuestión de minutos, saltándose incluso la verificación en dos pasos en muchos casos.
Lo más inquietante del asunto es que, según varios analistas de seguridad, el sistema aceptaba pruebas de identidad que eran auténticas chapuzas. Se ha llegado a documentar el uso de vídeos generados por IA para engañar a los sistemas de reconocimiento facial de la propia plataforma, demostrando que la tecnología de defensa de Instagram no era capaz de distinguir entre un humano real y un montaje sintético bien hecho.
Impacto masivo: de usuarios anónimos a perfiles de alto nivel
Aunque cualquier usuario podía ser una víctima potencial, los hackers pusieron sus ojos especialmente en los llamados «OG handles», que no son otra cosa que nombres de usuario muy cortos o codiciados que tienen un valor altísimo en el mercado negro. Estas cuentas se revendían en cuestión de horas a través de foros especializados, dejando a los propietarios originales sin posibilidad alguna de reclamar lo que era suyo.
Pero la cosa no quedó ahí, ya que personajes de la talla de Barack Obama o grandes marcas como Sephora también vieron cómo sus perfiles eran utilizados para publicar contenidos extraños o propaganda. En total, se estima que más de 20.000 personas se han visto afectadas por este bug, una cifra que ha obligado a Meta a presentar informes ante las autoridades de seguridad de varios territorios, incluyendo Europa y Estados Unidos.
En el caso concreto de España y el resto del continente, la preocupación es máxima debido a las estrictas normativas de protección de datos. Los atacantes no solo se llevaban la cuenta, sino que podían acceder a mensajes directos, datos de contacto y fechas de nacimiento, lo que supone una brecha de privacidad de dimensiones considerables que podría traer cola en forma de sanciones administrativas.
Desde la compañía, Andy Stone ha salido al paso asegurando que el problema ya ha sido parcheado y que están trabajando a destajo para asegurar las cuentas impactadas. Como medida de choque, se ha desactivado por completo el asistente virtual de soporte y se han anulado todos los enlaces de restablecimiento de contraseña que se generaron de forma sospechosa durante las semanas que duró el ataque.
Ahora, a los usuarios afectados no les queda otra que armarse de paciencia y pasar por un proceso de verificación manual bastante tedioso para recuperar su identidad digital. Este suceso nos recuerda que, por muy moderna que sea una herramienta, nunca debemos bajar la guardia y que es fundamental contar con métodos de autenticación externos, como realizar una copia de seguridad de Instagram, para evitar que un simple bot nos arruine el día y se lleve nuestros recuerdos digitales por delante.
Esta brecha de seguridad que ha puesto en jaque a Meta evidencia que la automatización de procesos críticos de soporte todavía presenta lagunas importantes en la verificación de identidad. Con más de veinte mil cuentas comprometidas y el uso de técnicas de engaño basadas en VPN y vídeos sintéticos, queda claro que la industria debe replantearse sus protocolos antes de dejar decisiones de seguridad en manos exclusivas de una inteligencia artificial. Por ahora, el servicio de asistencia inteligente permanece inactivo mientras la empresa revisa concienzudamente sus sistemas en Facebook, WhatsApp y el resto de sus plataformas para evitar que una pifia similar vuelva a repetirse en el futuro.
