Un fallo en el sistema de soporte de IA de Meta permitió el robo de más de 20.000 cuentas de Instagram

El asistente de soporte como vector de ataque

La inteligencia artificial está transformando la atención al cliente en las grandes plataformas digitales: respuestas más rápidas, disponibilidad las 24 horas, resolución automática de problemas comunes. Pero un incidente reciente en Meta demuestra que esa automatización también puede ser explotada de maneras que los sistemas tradicionales de soporte no contemplaban.

Según informó BleepingComputer, atacantes consiguieron abusar del sistema de soporte basado en IA de Meta para restablecer las contraseñas de más de 20.000 cuentas de Instagram. El mecanismo era relativamente sencillo: los ciberdelincuentes usaban el asistente automatizado para iniciar procesos de recuperación de cuenta sin necesidad de superar verificaciones de identidad robustas.

Cómo funcionó el ataque

Los atacantes se aprovecharon de que el sistema de IA de soporte estaba diseñado para facilitar la recuperación de acceso a usuarios legítimos que habían perdido su contraseña. Al no contar con verificaciones secundarias suficientemente estrictas —como confirmación por número de teléfono verificado o preguntas de seguridad adicionales—, el asistente procesaba las solicitudes de restablecimiento sin detectar que no provenían del propietario real de la cuenta.

Una vez obtenido el acceso, los atacantes cambiaban las credenciales antes de que el usuario legítimo pudiera reaccionar, dejando a las víctimas sin posibilidad de recuperar sus cuentas por los canales habituales.

El problema de fondo: IA sin los controles adecuados

Este incidente no es un error de programación aislado. Es la consecuencia de desplegar automatización en un proceso sensible —la recuperación de cuentas— sin adaptar los controles de seguridad al nuevo modelo de atención.

Los sistemas humanos de soporte, con todas sus ineficiencias, tienen algo que los asistentes de IA todavía no replican bien: la capacidad de detectar patrones inusuales a través del contexto de la conversación, el tono, las inconsistencias o las señales de alerta que no están codificadas en ninguna regla.

La respuesta de Meta

Meta confirmó el incidente y afirmó estar reforzando los controles de identidad en su sistema de soporte. La compañía no detalló qué cambios específicos implementará, pero el caso ya está siendo analizado por investigadores de seguridad como un ejemplo de la nueva superficie de ataque que introduce la IA en los procesos operativos de las plataformas.

Qué deben hacer los usuarios

Si tienes una cuenta de Instagram activa, este incidente es un recordatorio práctico de reforzar la seguridad antes de que ocurra algo:

• Activa la autenticación en dos pasos (2FA) con una app de autenticación, no solo por SMS.
• Verifica que tu correo de recuperación y número de teléfono asociados estén actualizados.
• Revisa los accesos recientes en Configuración → Seguridad → Actividad de inicio de sesión.

La automatización del soporte con IA llegó para quedarse. La seguridad tiene que adaptarse al mismo ritmo.