Unos hackers con el control de las cuentas de Instagram de Obama, Sephora y la Fuerza Espacial

Varias cuentas de Instagram de gran repercusión mediática fueron pirateadas durante el fin de semana después de que unos hackers aprovecharan una vulnerabilidad en el asistente de atención al cliente basado en IA de Meta, lo que ha suscitado nuevas preocupaciones sobre el papel cada vez más importante de la inteligencia artificial en la seguridad de las cuentas. Según múltiples informes, entre los que se incluyen investigaciones de The Guardian, 404 Media e investigadores en ciberseguridad, grupos de hackers proiraníes aprovecharon la falla para hacerse con el control de cuentas destacadas vinculadas a la Casa Blanca de la era Obama, Sephora y la Fuerza Espacial de los Estados Unidos. En lugar de violar directamente los sistemas internos de Meta, los atacantes supuestamente manipularon el chatbot de recuperación automatizado de la empresa para que modificara la información de recuperación de las cuentas. El incidente ha reavivado el debate sobre si se deben confiar a los sistemas de IA funciones de seguridad sensibles que antes eran gestionadas por personal de asistencia humano cualificado.

Los investigadores afirman que el ataque se basó en una forma sorprendentemente sencilla de ingeniería social. Tras ocultar su ubicación mediante redes privadas virtuales diseñadas para imitar la región geográfica de los titulares de las cuentas objetivo, los hackers iniciaron conversaciones con el asistente de soporte de IA de Meta a través del proceso de recuperación de cuentas. Al parecer, el chatbot permitió a los atacantes sustituir la dirección de correo electrónico asociada al perfil de Instagram de la víctima sin exigir una verificación de identidad suficiente. Una vez cambiado el correo electrónico de recuperación, los hackers simplemente solicitaron un restablecimiento de contraseña y recibieron el enlace de restablecimiento directamente en sus propias bandejas de entrada, bloqueando de hecho el acceso a los propietarios legítimos de las cuentas. Los investigadores en ciberseguridad describieron la vulnerabilidad como un ejemplo de lo que se conoce como «ataque de inyección de comandos», en el que los usuarios manipulan un sistema de IA para que realice acciones que van más allá de lo que sus medidas de seguridad estaban destinadas a permitir.

Meta reconoció la vulnerabilidad después de que empezaran a circular en Telegram y X vídeos que demostraban el exploit. La empresa afirmó que había corregido la falla y que estaba trabajando para restaurar las cuentas afectadas. En respuesta pública a las noticias sobre el incidente, el portavoz de Meta, Andy Stone, escribió: «Este problema se ha resuelto y estamos protegiendo las cuentas afectadas». La empresa no ha revelado cuántas cuentas se vieron afectadas antes de que se solucionara la vulnerabilidad. La brecha resulta especialmente embarazosa para Meta, ya que el asistente de IA se lanzó a principios de este año como parte de un importante esfuerzo por modernizar la recuperación de cuentas y la atención al cliente en Facebook e Instagram. La empresa había promocionado la tecnología como una forma más rápida y sencilla para que los usuarios recuperaran el acceso a sus cuentas y resolvieran problemas relacionados con la seguridad sin tener que esperar a recibir asistencia humana.

Entre las víctimas más destacadas se encontraba la cuenta archivada de Instagram asociada a la Casa Blanca de Barack Obama. Según informes citados por TMZ e investigadores de ciberseguridad, los usuarios notaron una actividad inusual en la cuenta después de que esta comenzara a publicar contenido proiraní y propaganda política. Según se informa, una de las publicaciones más difundidas incluía una imagen generada por IA acompañada de un pie de foto que se traducía como: «La Casa Blanca está bajo el control de los chiitas». Las capturas de pantalla del contenido se difundieron rápidamente por las redes sociales antes de que Meta eliminara las publicaciones y restableciera el acceso a la cuenta. Los investigadores señalaron que el ataque parecía tener más la intención de ser una declaración política que una operación financiera, aunque las cuentas de Instagram robadas se venden con frecuencia en mercados clandestinos por sumas considerables. El incidente demostró cómo una vulnerabilidad en un sistema de asistencia automatizado podía convertirse rápidamente en una herramienta de comunicación geopolítica en manos de actores hostiles.

La cuenta oficial de Instagram del sargento mayor jefe de la Fuerza Espacial, John Bentivegna, también fue comprometida durante la misma oleada de ataques. Los hackers utilizaron la cuenta para publicar una serie de historias de Instagram proiraníes e imágenes de propaganda antes de que se eliminara el contenido. Según se informa, el material incluía mensajes antiamericanos, referencias a las tensiones geopolíticas en Oriente Medio y audio asociado a campañas de guerra psicológica. Al confirmar la violación, un portavoz de la Fuerza Espacial declaró: «La cuenta oficial de Instagram del sargento mayor jefe de la Fuerza Espacial de los Estados Unidos ha sido comprometida. Actualmente estamos trabajando con los equipos pertinentes para recuperar el acceso y resolver el problema lo antes posible». La rama militar se negó a proporcionar más detalles sobre la naturaleza del ataque o si otras cuentas de redes sociales afiliadas al Gobierno habían sido objeto de ataques a través de la misma vulnerabilidad.

Sephora fue una de las empresas víctimas de la campaña. Los hackers tomaron el control de la cuenta oficial de Instagram de Sephora Collection durante un breve periodo de tiempo y publicaron contenido gráfico explícito en la madrugada del 1 de junio, antes de que se eliminaran las publicaciones. Poco después de recuperar el acceso, la empresa publicó una historia temporal en Instagram informando a sus seguidores de que la cuenta ya estaba protegida. El incidente pone de relieve los riesgos más amplios a los que se enfrentan las organizaciones que dependen en gran medida de las plataformas de redes sociales para la interacción con los clientes, la imagen de marca y el marketing. Los expertos en seguridad advierten de que la brecha de Meta ilustra cómo las vulnerabilidades en los sistemas de asistencia impulsados por IA pueden crear nuevas superficies de ataque que eluden por completo las defensas tradicionales de ciberseguridad. A medida que las empresas tecnológicas continúan integrando la inteligencia artificial en funciones críticas de gestión de cuentas, la campaña de toma de control de Instagram puede convertirse en uno de los primeros ejemplos importantes de cómo el servicio de atención al cliente impulsado por IA puede utilizarse como arma contra los mismos usuarios a los que estaba destinado a proteger.