MetaのAIサポートに関するハッキングで、2万件以上のInstagramアカウントが盗まれる

Metaは、攻撃者が同社のAI搭載サポートシステムを利用してパスワードをリセットした最近の事件で、20,225人のInstagramユーザーのアカウントが乗っ取られたことを明らかにした。

1週間前に報じられた通り、攻撃者は同社の「High Touch Support（HTS）」ツールの脆弱性を悪用した。HTSは、Instagramアカウントからロックアウトされたユーザーがアクセス権を取り戻せるよう支援するAI支援型サポートシステムである。

HTSが、標的となったInstagramアカウントにメールアドレスが紐付けられているかどうかを確認していなかったという事実を悪用することで、攻撃者はパスワードリセットリンクを入手し、二要素認証（2FA）が有効になっていないアカウントにログインして乗っ取ることができた。

「ユーザーはHTSにサポートを依頼することができ、そのプロセスの一環として、パスワードリセットリンクを自身のメールアドレスに送信するよう依頼できます。 ツール自体は正常に動作し、意図した通りに機能していました。しかし、別のコードパスにバグがあったため、システムは、パスワードリセットをリクエストした個人が提供したメールアドレスが、そのユーザーのInstagramアカウントに関連付けられたメールアドレスと一致しているかどうかを適切に検証できませんでした」 と、Metaのインシデント対応法務担当アソシエイト・ジェネラル・カウンセルであるアンバー・ハンナ氏は、最近メイン州司法長官事務所に提出されたデータ侵害に関する書簡の中で述べました。

「その結果、ユーザーがアカウントに以前関連付けられていなかったメールアドレスを提供した場合、システムはリクエストを拒否する代わりに、誤ってその未関連付けのメールアドレスにパスワードリセットリンクを送信してしまいました。これにより、権限のない第三者が、自身が所有していないアカウントのパスワードリセットリンクを受け取ることが可能となりました。 パスワードをリセットすると、アカウント所有者が二要素認証（2FA）を有効にしていない場合、その第三者はアカウントにログインできてしまいました。」

こうした攻撃に関するユーザーからの報告がソーシャルメディア上で相次いだ後、Metaのコミュニケーション担当副社長であるアンディ・ストーン氏は、被害を受けたユーザーの一人に対し、「問題は解決済みであり、影響を受けたアカウントのセキュリティ対策を講じている」と回答した。

当メディアも先週、このセキュリティ侵害についてコメントを求めるためMetaに連絡したが、現時点では返答を得られていない。

「Instagramのアカウント復旧サポートツールに存在する脆弱性が悪用され、貴管轄区域内の30名のユーザーのInstagramアカウントが侵害された可能性があることをお知らせいたします。継続的な不正アクセスを防ぐため、すべてのアカウントのセキュリティ対策は完了しています」とハンナ氏は付け加えた。 「2026年5月31日、MetaはInstagramのAI支援型アカウント復旧システム（『High Touch Support』または『HTS』）に脆弱性が存在し、これが悪意のある第三者によって悪用され、Instagramユーザーアカウントのパスワードリセットが行われていたことを発見しました。」

Metaは侵害通知書の中で攻撃がいつ始まったかについては具体的に言及していませんが、メイン州司法長官（OAG）のウェブサイトに掲載された文書によると、侵害は4月17日に発生しており、これはHTSの脆弱性を悪用した最初の攻撃が行われた日付である可能性が高いです。

同社は、侵害されたアカウントからどのような個人情報がアクセスまたは盗まれたかについての情報は持っていないとしているが、攻撃者が影響を受けたInstagramユーザーの連絡先情報（メールアドレスおよび／または電話番号）、 生年月日、ソーシャルメディアの投稿およびコンテンツ（写真、動画、ストーリー）、ダイレクトメッセージや通信内容、アカウントのアクティビティややり取りの履歴、プロフィール情報（自己紹介、プロフィール写真）、ならびにその他の連携アカウントやリンクされたサービスへのアクセス権を取得した可能性があるとしている。

同社は本件を発見後、HTSのAI搭載サポートシステムおよび同システムが生成したすべてのパスワード再設定リンクを無効化し、同悪意あるキャンペーンによる今後の乗っ取り試みを確実に阻止しました。

また、同社は盗難の可能性があるすべてのアカウントを強制的なセキュリティチェックポイントに登録し、影響を受けたすべてのユーザーに対し、パスワードを再度リセットして再認証を行うよう求め、侵害されたアカウントの安全を確保し、管理権限を取り戻すよう促しました。 

「ツールの再公開に先立ち、MetaはInstagramのアカウント復旧エントリポイントにおける認証チェックを修正し、パスワードリセットが開始される前に、メールアドレスが既存のアカウント情報と適切に照合されるようにします」とMetaは付け加えた。 「さらに、Metaは自社プラットフォーム全体における同様のアカウント復旧フローについて包括的な見直しを行い、潜在的な問題を特定し是正しています。」

今回の事案に先立ち、アイルランド当局は、2018年に発生したデータ侵害事件に関し、Metaに対し2億6400万ドルの罰金を科していた。同事件では、2900万件以上のFacebookアカウントの氏名、メールアドレス、電話番号、および所在地が流出した。

また、Metaは2022年11月、Facebookユーザーのデータをスクレイパーから保護しなかったとして2億6500万ユーロ（2億7550万ドル）の罰金を科され、さらに数億人のユーザーのパスワードを平文で保存していたとして9100万ユーロ（1億ドル）の罰金を科された。