El chatbot de Meta explotado para secuestrar cuentas de Instagram

Un vídeo publicado en Telegram mostraba algo incómodo de ver: un atacante le pedía al chatbot oficial de soporte de Meta que cambiara el correo electrónico vinculado a la cuenta de Instagram de otra persona. El chatbot obedecía. Con eso bastaba para iniciar el proceso de recuperación de contraseña y tomar el control de la cuenta. The Verge recogió el caso el 1 de junio, citando el reportaje original de 404 Media.

Meta ha confirmado el problema y asegura que ya está resuelto, aunque no ha detallado ni cuándo se introdujo el fallo ni cuántas cuentas pudieron verse afectadas.

Qué pasaba exactamente

El chatbot de soporte de Meta tiene acceso a operaciones de gestión de cuentas para ayudar a usuarios legítimos a recuperar el acceso a sus perfiles. El problema estaba en que, al parecer, no verificaba de forma suficiente si quien hacía la solicitud era realmente el titular de la cuenta. Un atacante podía proporcionar el nombre de usuario de cualquier perfil ajeno, pedir el cambio de dirección de correo y el sistema lo procesaba sin exigir una prueba de identidad robusta.

Es un patrón conocido en seguridad: cuando se añade un agente conversacional como capa de interfaz sobre operaciones sensibles, las validaciones que antes estaban implícitas en un formulario o en un flujo manual pueden quedar difuminadas o directamente omitidas. El chatbot estaba, en la práctica, actuando como un proxy sin autenticación para acciones de alto privilegio.

Por qué importa más allá de Meta

Este incidente no es solo un problema de Meta. Es una advertencia genérica para cualquier organización que esté desplegando agentes de IA para automatizar soporte al cliente con acceso a datos o acciones reales sobre cuentas.

Cuando un LLM puede ejecutar operaciones en sistemas backend —ya sea a través de herramientas, llamadas a API o, en el ecosistema de Anthropic, vía MCP servers—, el perímetro de seguridad se desplaza. Ya no basta con securizar el endpoint de la API; hay que securizar también el agente que la llama, incluyendo cómo interpreta las instrucciones del usuario y qué verificaciones exige antes de ejecutar acciones irreversibles o de alto impacto.

En el caso de Claude Code y los servidores MCP, Anthropic ha documentado este tipo de riesgo bajo el concepto de prompt injection y recomienda que los desarrolladores implementen validaciones explícitas antes de que un agente llame a herramientas con capacidad de escritura o modificación. El incidente de Meta ilustra qué ocurre cuando eso no se hace bien en producción y a escala.

Para quién es relevante

Para los equipos que estén construyendo agentes de soporte o asistentes con acceso a cuentas de usuarios, este caso es material de estudio obligatorio. Los puntos concretos a revisar:

• Principio de mínimo privilegio: el agente solo debe poder ejecutar las acciones estrictamente necesarias para su función.
• Verificación de identidad fuera del canal conversacional: cambios críticos como correo o contraseña deberían requerir confirmación por un segundo canal independiente del chat.
• Logging y auditoría: cualquier acción sensible ejecutada por el agente debe quedar registrada con suficiente contexto para detectar patrones anómalos.
• Pruebas adversariales: antes de desplegar, simular ataques donde un usuario intenta operar sobre cuentas ajenas.

Nada de esto es nuevo en seguridad tradicional. Lo que cambia con los agentes de IA es que la superficie de ataque se amplía y los vectores de explotación pueden ser tan simples como una frase en lenguaje natural.

El estado de la situación

Meta no ha publicado un post mortem público ni ha especificado el alcance real del problema. La compañía se ha limitado a confirmar que el fallo existe y que ya está corregido. Es una respuesta que, como mínimo, deja preguntas abiertas sobre cuánto tiempo estuvo activo el exploit y si hubo cuentas comprometidas antes de que trascendiera.

---

Desde EP, este caso nos parece representativo de un problema estructural que veremos repetirse: la presión por desplegar agentes de IA en soporte al cliente va más rápido que la madurez de los equipos para evaluar sus implicaciones de seguridad. No es pesimismo, es lo que indica el historial de cualquier tecnología que escala antes de que sus patrones de riesgo estén bien entendidos.