Fallo en sistema de soporte de Meta permitió el secuestro de 20,225 cuentas de Instagram
Meta reveló que atacantes abusaron de su sistema de soporte para restablecer contraseñas y tomar control de 20,225 cuentas de Instagram, exponiendo vulnerabilidades en los controles de identidad.
Brecha en el soporte de Meta compromete más de 20,000 cuentas de Instagram
Meta confirmó que 20,225 cuentas de Instagram fueron secuestradas por actores maliciosos que lograron explotar una vulnerabilidad en su sistema de soporte al cliente. Los atacantes utilizaron el mecanismo de restablecimiento de contraseñas para tomar control de las cuentas, accediendo a ellas sin necesitar las credenciales originales de los usuarios.
Cómo funcionó el ataque
Los atacantes identificaron una debilidad en los controles de verificación de identidad del sistema de soporte de Meta. Al iniciar una solicitud de restablecimiento de contraseña a través del canal de atención al cliente, lograron eludir las verificaciones de identidad habituales, obteniendo acceso a las cuentas objetivo. El volumen del ataque —más de 20,000 cuentas— indica que el proceso fue automatizado o semi-automatizado.
El riesgo oculto en los sistemas de atención al cliente
Este incidente ilustra un vector de ataque frecuentemente subestimado: los sistemas de soporte y atención al cliente como superficie de ataque. Las herramientas de recuperación de acceso, diseñadas para ayudar a usuarios legítimos que perdieron su contraseña, se convierten en una puerta trasera cuando los controles de identidad no son suficientemente robustos.
Para plataformas con cientos de millones de usuarios como Instagram, el desafío es enorme: demasiada fricción en el proceso de recuperación genera quejas de usuarios legítimos; muy poca fricción abre la puerta a ataques masivos.
Recomendaciones para usuarios
Los usuarios de Instagram deben activar la autenticación de dos factores (2FA) con una aplicación de autenticación (no solo SMS) y revisar los dispositivos conectados a su cuenta en la sección de configuración de seguridad. Quienes hayan sido afectados por este incidente recibirán notificaciones directas de Meta.
Para empresas y marcas con presencia activa en Instagram, este tipo de incidentes refuerza la importancia de no almacenar credenciales sociales de forma centralizada sin controles de acceso adicionales.
Fuente: BleepingComputer