El soporte con IA de Meta permite robar cuentas de Instagram

Un fallo en el agente de soporte con IA que Meta está probando en Instagram permite a un atacante tomar el control de cualquier cuenta afectada en cuestión de minutos. No hace falta ingeniería sofisticada: basta con usar una VPN cercana a la región del objetivo, pedir al agente que envíe un código a un correo arbitrario y reenviarle ese mismo código. El agente responde con un enlace de restablecimiento de contraseña completamente funcional.

La divulgación llegó el 31 de mayo de 2026 a través de Hacker News, donde el autor señala que el exploit llevaba al menos varios días circulando en canales privados de Telegram y que ya se habían comprometido más de 100 cuentas de alto perfil antes de que el aviso llegase a la comunidad pública.

Cómo funciona el ataque

El flujo del ataque, tal como lo describe el autor del hilo, es el siguiente:

1. Conectarse a una VPN o proxy cuya salida esté cerca de la región geográfica de la cuenta objetivo.
2. Iniciar una conversación con el agente de soporte con IA de Instagram.
3. Solicitar que el sistema envíe un código de verificación a una dirección de correo electrónico controlada por el atacante.
4. Recibir el código y proporcionárselo al agente.
5. El agente entrega un enlace de restablecimiento de contraseña válido.

Ninguno de estos pasos requiere acceso previo a la cuenta ni conocimientos técnicos especiales. La geolocalización aproximada actúa como única fricción, y una VPN la elimina sin esfuerzo.

Por qué es un problema de diseño, no solo un bug

Lo que hace este caso especialmente relevante para quienes trabajan con agentes de IA es que el fallo no reside en una inyección de prompt ni en un jailbreak elaborado. El agente simplemente ejecuta un flujo de soporte sin verificar que la persona al otro lado tenga alguna relación previa con la cuenta. La autenticación se delega al propio agente, que acepta como válido el código que él mismo ha enviado a una dirección que no ha comprobado.

Es un recordatorio directo de algo que en el sector de los agentes se discute desde hace tiempo: un agente con capacidad de acción sobre recursos sensibles necesita controles de autorización que vayan más allá de la coherencia conversacional. Que el agente «confíe» en el flujo que él mismo ha iniciado no equivale a que el flujo sea seguro.

La superficie de ataque crece en proporción a los permisos del agente. En este caso, el permiso de emitir enlaces de restablecimiento de contraseña sin validación de identidad previa es, en la práctica, una puerta trasera.

Quién está expuesto y qué puede hacer

La función de soporte con IA de Meta no está activada para todos los usuarios: según el autor del hilo, se trata de un A/B test que afecta a un porcentaje indeterminado de cuentas. El problema es que el propio usuario no tiene forma sencilla de saber si su cuenta forma parte del grupo de prueba.

Mientras Meta no publique una comunicación oficial, las medidas defensivas disponibles son limitadas:

• Activar la autenticación en dos pasos con una app de TOTP o una llave de hardware, no con SMS. Un atacante que ya tenga el enlace de restablecimiento podría enfrentarse igualmente al segundo factor si está bien configurado.
• Revisar sesiones activas desde la configuración de Instagram y cerrar las que no se reconozcan.
• Estar alerta a correos de Instagram que contengan códigos de verificación no solicitados, señal de que alguien puede estar intentando el ataque contra la cuenta.

El autor del hilo pide explícitamente que Meta desactive la función de soporte con IA de forma temporal y revierta los cambios de nombre de usuario y propietario producidos en los últimos días. A fecha de publicación de este post, no hay confirmación pública de que Meta haya tomado ninguna de estas medidas.

Opinión EP

Que un agente de soporte pueda emitir credenciales de acceso sin verificar la identidad del solicitante es el tipo de error que debería bloquearse en la fase de diseño, no descubrirse en producción con cuentas ya comprometidas. El ritmo de despliegue de agentes con permisos elevados y los controles de seguridad que los acompañan no siempre van al mismo paso, y este caso lo ilustra con bastante claridad.