Meta: hackers konden tienduizenden Instagram-accounts overnemen met Meta AI

Meta's eigen AI-chatbot heeft hackers geholpen bij het overnemen van meer dan 20.000 Instagram-accounts. De kwetsbaarheid werd eerder deze week bekend, maar nu zegt Meta hoeveel slachtoffers er waren. De chatbot laat hackers zeer eenvoudig het e-mailadres van een Instagram-account veranderen, waarna ze het account kunnen overnemen.

Bij de hack konden 20.225 accounts worden overgenomen, bevestigt Meta tegenover de Amerikaanse staat Maine. De hack kwam eerder deze week aan het licht, maar toen was nog niet bekend hoeveel slachtoffers er waren. Meta zegt dat dit aantal een 'bovenlimiet' is, omdat hier mogelijk ook accounts zijn geteld waarbij de gebruiker zelf inlogde en dus niet de hacker.

De aanval werkte met Meta's AI-chatbot die gebruikers helpt bij het oplossen van problemen, zoals het niet meer hebben van toegang tot het account. Die chatbot had niet veel controles om te verifiëren of de gebruiker daadwerkelijk toegang mocht hebben tot het account. Hackers hoefden alleen een vpn te gebruiken om de chatbot ervan te overtuigen dat ze in dezelfde regio waren als de gebruiker van het account.

Vervolgens vroegen ze de chatbot om hulp omdat ze zogenaamd het wachtwoord van een account waren vergeten. Hierbij vroegen ze Meta AI om het e-mailadres van het account te wijzigen. De chatbot paste hierop het mailadres aan, waarna ze via dat nieuwe adres het wachtwoord wijzigden. Accounts zonder 2fa konden zo eenvoudig worden overgenomen.

De hackers hadden het vooral voorzien op accounts met aantrekkelijke gebruikersnamen van maximaal vier karakters, die ze vervolgens konden verkopen. Ze hackten ook bekende en grote accounts, of probeerden daar toegang toe te krijgen, zoals het Witte Huis-account van Barack Obama, een hoge adviseur van de US Space Force en beveiligingsonderzoeker Jane Wong.

Meta ontdekte de fout op 31 mei en haalde de chatbot toen offline. Het bedrijf wil de chatbot aanpassen zodat gebruikers niet zomaar het e-mailadres kunnen wijzigen.

Reacties (12)

[supersnathan94]

Sorry, maar wat een ontzettend achterlijke manier om dit te doen zeg.

Nul verificatie whatsoever.

Account reset waarbij je alle “known verifiable information” ook direct wijzigt.

Wat knullig. Ik dacht dat we al wel voorbij dit stadium van security waren?

[JustRob]

Tja. Dat krijg je als je van die CEO’s hebt die roepen dat alles AI moet worden zonder na te denken of het wel écht verstandig is.

[Barsonax]

Ja maar 10x productiever en nog steeds geen tijd om de kwaliteit checken

[Blokker_1999]

Wat ik persoonlijk het ergste vind is dat iemand het een goed idee vond om die LLM zelfs maar de mogelijkheid te geven om aanpassingen te maken aan de accounts van een gebruiker. LLMs als vervanger van je helpsysteem is 1 ding. Het helpen van mensen met het vinden van de juiste infromatie, daar kan ik inkomen. Maar dat meerdere diensten hebben toegestaan dat deze chatbot ook gewoon letterlijk accounts mag aanpassen, dat er schrijftoegang is naar die backend, dat doet me echt grote vraagtekens plaatsen bij hoe heel dat ding is kunnen gebeuren want het is net een scenario dat al zo lang bekend is en waar zoveel voor gewaarschuwd wordt.

[Technoid]

nieuws: Hackers namen Instagram-accounts over door Meta AI nieuw wachtwoord te vragen


Dubbel artikel? @Hayte

[Hayte]

Het nieuws is dat er nu bekend is hoeveel slachtoffers er waren, zoals ook in het artikel staat

De hack kwam eerder deze week aan het licht, maar toen was nog niet bekend hoeveel slachtoffers er waren.

Edit:ik herhaal dit nu ook in de inleiding, voor de duidelijkheid.

[Reactie gewijzigd door Hayte op 7 juni 2026 10:23]

[Technoid]

Dat maakt het mijn inziens geen compleet nieuw artikel

[Arjant2]

ik wilde net zeggen, heb ik dit niet vorige week al gelezen?

Overigens wordt er in het artikel wel naar het vorige artikel verwezen, maar waarom dit een heel nieuw artikel moet zijn? Omdat nu bekend is dat het max 20.000 accounts waren of dat Meta het erkent nu?

[Reactie gewijzigd door Arjant2 op 7 juni 2026 10:01]

[Sandor_Clegane]

Hahaha te mooi ook.

En dan te bedenken dat we nog niet zo lang geleden tegen dit soort bedrijven opkeken: 'move fast and break things'.

Dat laatste komt wel goed.

[armageddon_2k1]

Wie keek daar naar op dan?

[Aphelion]

Een hele groep mensen. Ik ken het vanuit software dev omgevingen.

[qlum]

Tja een hack zou ik het nouwelijks noemen, de chatbot voert gewoon de opdracht uit. Erg verelend voor de slachtoffers hoop dat meta die dan ook weer toegang kan geven. Is meer via de achterdeur naar binnen lopen dan inbreken.

[Reactie gewijzigd door qlum op 7 juni 2026 10:36]