Meta винит «баг в отдельной ветке кода» в угоне 20 000 аккаунтов Instagram

Что Meta подтвердила — её собственными аккуратными словами

Согласно разбору утечки — построенному на материалах генпрокуратуры штата Мэн и репортаже 404 Media — злоумышленники злоупотребили ИИ-ассистированной формой восстановления аккаунтов Instagram, чтобы запускать сброс паролей для чужих аккаунтов. Объяснение Meta — небольшой шедевр дистанцирующей риторики:

«из-за бага в отдельной ветке кода система не проверила должным образом, что адрес почты, указанный лицом, запросившим сброс пароля, совпадает с адресом почты, привязанным к аккаунту Instagram этого пользователя».

Простыми словами: путь сброса принимал и идентификатор аккаунта, и указанную злоумышленником почту, а затем отправлял ссылку сброса на адрес злоумышленника. Минимум 20 225 аккаунтов были угнаны (30 только в Мэне) примерно с 17 апреля по начало июня 2026 года, обнажив контактные данные, даты рождения, посты и личные сообщения.

Поправка от треда: винить надо не чат-бота, а API

Заголовок вешает всё на «ИИ-чат-бота». Инженеров в обсуждении это не убедило.

«как, чёрт возьми, API сброса пароля вообще принимает и адрес почты, и ID аккаунта как параметры? Чат-бот тут ни при чём. Готов поспорить, проблема в API, написанном ИИ» — разработчик из треда

Вот ключевая мысль: чат-бот может делать лишь то, что позволяет стоящий за ним эндпойнт. API восстановления аккаунта, который доверяет переданной злоумышленником почте как адресу назначения, сломан независимо от того, какой интерфейс над ним надстроен.

Другие прошлись по регистру «работало как задумано» от Meta:

«Не уверен, что „работало корректно“ и „как задумано“ точно описывают эту ситуацию». — читатель, не впечатлённый формулировками из уведомления об утечке

Деталь, которую обходит формулировка Meta: пострадали и пользователи с 2FA

Нарратив Meta опирается на аккаунты без двухфакторной аутентификации. Пострадавшие в треде жёстко возразили.

«Люди сообщали, что их аккаунты угоняют при нормально настроенной 2FA. Все недоумевали, как … кто-то говорил про „инсайдерскую работу“. Это ровно то тупое объяснение, которого я и ожидал». — комментатор, пересказывающий ранние сообщения пострадавших

И эксплойт был новостью не для всех: один комментатор отметил, что он всплыл на HN несколькими днями ранее как описанная атака — ещё до того, как подтверждение Meta переформатировало его в аккуратный «баг в отдельной ветке кода».

Вывод для всех, у кого есть аккаунт в Instagram: включите 2FA всё равно — но понимайте, что сбой здесь был не в гигиене ваших паролей. Это была проверка личности, которую системы самой компании просто пропустили.