Un grupo de investigadores de seguridad de ZachXBT y Dark Web Informer han detectado una vulnerabilidad que afecta a la herramienta de recuperación de cuentas de Meta, la cual está impulsada por IA. Esto permite que los piratas informáticos puedan llegar a secuestrar cuentas al engañar al chatbot y lograr así que enviase códigos de restablecimiento de contraseñas sin verificación. Vamos a contarte en qué consiste y de qué manera puede afectarte.
Se trata de un fallo crítico que afecta a esta herramienta de cuentas de Meta. Esto hace que los atacantes ya no tengan como objetivo único hacerse con las contraseñas, sino convencer a la IA de que permita acceder a las claves. Esto afecta a cuentas que no utilicen autenticación en dos pasos.
Problema con la herramienta de recuperación de cuentas de Meta
Este reporte lo han mostrado desde ZachXBT y Dark Web Informer a través de sus perfiles en la red social X. Es un problema que ya ha sido resuelto, pero que nos demuestra una vez más cómo la Inteligencia Artificial puede tener una parte negativa en cuanto a seguridad informática y conviene extremar las precauciones.
Desde Dark Web Informer, a través de su perfil en la red social X (@DarkWebInformer) han mostrado cómo este fallo ha estado presente en Meta AI para resetear contraseñas de cuentas de Instagram sin autenticación en dos pasos. También indican que este problema ha sido parcheado recientemente.
Dark Web Informer@DarkWebInformer🚨 Instagram had an exploit that allowed you to use Meta AI to reset passwords to accounts with no MFA on them. The exploit was patched a short time ago.https://t.co/PEUwLvmllj
01 de junio, 2026 • 03:08
1.2K
20
Algo similar han mencionado desde la cuenta oficial de ZachXBT en la red social X (@zachxbt). Allí mencionan también que la IA de Meta no funcionaba bien y tenía demasiados permisos de acceso, lo que permitía a cualquiera restablecer contraseñas de cualquier usuario sin verificar la identidad y si no tenía 2FA.
ZachXBT@zachxbt@wirelyss @Polymarket It’s likely because there was a massive Instagram / Meta exploit over the weekend that was just patched.Basically the Meta AI support is garbage and has lots of access perms which allowed you to reset passwords to any user without 2FA and did not verify who you are.
Telegram
01 de junio, 2026 • 02:59
351
19
Pero, ¿cómo funcionaba exactamente? Los atacantes lo que podían hacer era entablar conversación con el chatbot y solicitar que enviaran códigos de restablecimiento de contraseñas a terceros sin autorización. Esto eludía por completo las verificaciones de identidad. Simplemente necesitaban conocer el nombre de usuario e iniciar el proceso.
No se trata de una brecha de seguridad tradicional que afectara al servidor, sino de un problema en la capa lógica de la Inteligencia Artificial. No contaba con una limitación adecuada antes de procesar las solicitudes de restablecimiento.
Según explican los investigadores de seguridad, han atacado cuentas de Instagram de gran valor, con nombres de usuario cortos y de alto perfil. Mencionan algunos que han estado en mercados de la Dark Web, como @hey o @jowo.
Qué hacer
Este problema ya ha sido solucionado por Instagram. Ya han corregido el fallo y, en principio, no es posible explotar la vulnerabilidad. No obstante, es conveniente que tomes medidas no solo para protegerte en este caso, sino frente a cualquier otro intento de ataque.
Es fundamental que tengas habilitada la autenticación en dos pasos. Esto genera una capa adicional de protección que va más allá de la contraseña. Podrás evitar que haya intrusos, incluso si logran robar la clave de acceso. Es algo que recomendamos aplicar a cualquier cuenta en Internet.
También es importante que utilices una cuenta de correo electrónico que sea privada y que no tengas expuesta en ningún lugar. Si alguien llegara a averiguar el e-mail asociado a tus redes sociales, podrías tener problemas. Por tanto, te invitamos a que utilices cuentas privadas y así poder mejorar la seguridad.
| Medida | Descripción breve | Prioridad |
|---|---|---|
| Activar autenticación en dos pasos (2FA) con app | Usar Google Authenticator, 1Password u otra aplicación de autenticación; evita depender solo de SMS | Alta |
| Usar una llave de seguridad hardware (FIDO2/WebAuthn) | Ejemplo: YubiKey; protege incluso si el flujo de recuperación es comprometido | Alta |
| No exponer el correo electrónico asociado a la cuenta | Utilizar una dirección privada no vinculada a perfiles públicos | Media |
| Revisar sesiones activas y permisos periódicamente | Desde la configuración de Instagram, eliminar accesos no reconocidos | Media |
Medios especializados como Cyber Security News se han hecho eco de este problema en Instagram. Recuerdan el riesgo que supone la IA, por lo que conviene siempre estar preparados y no dar facilidades a los atacantes.