Des cybercriminels ont réussi à exploiter le chatbot d’assistance de Meta AI. Le temps que Meta corrige la faille, des comptes Instagram à forte valeur avaient déjà été compromis et revendus. Et ce, pour des sommes considérables sur le marché parallèle.
Parmi les victimes figureraient notamment des comptes liés à des personnalités publiques. Certains comptes compromis ont même diffusé temporairement des contenus et messages à caractère politique avant d’être récupérés.
Comment les hackers s’y sont pris pour attaquer Instagram ?
D’après les informations relayées par 404 Media, l’attaque reposait sur une forme très simple d’injection de requêtes. Les pirates lançaient d’abord une procédure de réinitialisation du mot de passe.
Il leur suffisait d’utiliser un VPN pour simuler la localisation de la victime. Ils convainquaient ensuite l’assistant IA de Meta de modifier l’adresse e-mail du compte visé. Ce qui leur ouvrait la porte à une prise de contrôle complète.
Des vidéos montrant cette méthode circulaient depuis quelque temps dans des groupes Telegram fréquentés par des hackers et des chercheurs en cybersécurité.
Le média Neowin affirme que cette faille était exploitée depuis plusieurs mois, possiblement depuis février. Et elle aurait déjà permis le piratage de milliers de comptes Instagram.
Toutefois, l’affaire a pris une ampleur particulière après la compromission de comptes appartenant à des personnalités connues. Parmi eux figuraient les @hey et @jowo, dont la valeur cumulée dépasserait le million de dollars sur le marché gris.
Même des spécialistes reconnus de la sécurité informatique, comme Jane Manchun Wong, ont signalé avoir été touchés. Le problème c’est que même si les pirates ne conservent ces comptes que quelques jours, ils peuvent en tirer profit. Et ce, grâce à leur audience, leur potentiel de revente ou leur capacité à usurper l’identité de marques connues.
L’assistance Meta AI à l’origine de la gaffe
Le 31 mai, le chercheur en renseignement open source ZachXBT a dénoncé publiquement le système sur X. Selon lui, l’assistance Meta AI disposait de permissions excessives permettant de réinitialiser des mots de passe sans authentification à deux facteurs ni véritable vérification d’identité.
It’s likely because there was a massive Instagram / Meta exploit over the weekend that was just patched.
— ZachXBT (@zachxbt) June 1, 2026
Basically the Meta AI support is garbage and has lots of access perms which allowed you to reset passwords to any user without 2FA and did not verify who you are.
Telegram…
Le chercheur Dark Web Informer a décrit la même vulnérabilité, tout en précisant qu’un correctif avait finalement été déployé. Et malgré tout, une protection simple permettait de bloquer l’attaque : l’authentification multifacteur.
Même la version la plus basique reposant sur des codes envoyés par SMS suffisait généralement à empêcher la prise de contrôle. Les pirates eux-mêmes l’ont reconnu.
Au-delà du cas de Meta, cet incident soulève une question plus large. De nombreuses entreprises confient désormais à des agents IA des droits importants. Ce qui leur permet de modifier des données sensibles ou des paramètres critiques.
Or, lorsqu’un tel système est mal protégé, une simple manipulation peut parfois suffire à contourner les mécanismes de sécurité traditionnels. Ainsi, pour plusieurs experts, l’assistant de support basé sur Meta AI aurait dû intégrer des contrôles de sécurité supplémentaires.
Parmi eux, une vérification indépendante avant toute modification des informations d’un compte, ainsi qu’une surveillance renforcée des demandes jugées à risque. Les spécialistes recommandent même une détection automatique des comportements inhabituels.
Sans oublier les garde-fous stricts empêchant l’IA d’effectuer certaines actions sensibles sans validation humaine.
Cet article Panique sur Instagram : l’IA de Meta offre les comptes de stars aux hackers a été publié sur LEBIGDATA.FR.