Brecha de seguridad de Meta Instagram HTS 2026

High Touch Support es una herramienta asistida por inteligencia artificial diseñada para ayudar a los usuarios que no pueden acceder a sus cuentas de Instagram a obtener asistencia y solicitar por correo electrónico un enlace para restablecer su contraseña. Meta indicó que la herramienta cumplió la función prevista, pero que, debido a un error en una ruta de código distinta, no se comprobó si la dirección facilitada en la solicitud coincidía con la registrada en la cuenta. En lugar de rechazar una dirección no asociada a la cuenta, el sistema le enviaba el enlace.

Una vez que un tercero no autorizado utilizaba el enlace y cambiaba la contraseña, podía iniciar sesión si la cuenta no tenía activada la autenticación de dos factores. Por tanto, el incidente no se limitó al envío de un correo de restablecimiento a una dirección incorrecta: la notificación de Meta indica que probablemente terceros no autorizados accedieron a algunas cuentas. La autenticación de dos factores podía impedir que ese mismo enlace de restablecimiento permitiera iniciar sesión en la cuenta.

BleepingComputer informó de que Meta había comunicado un total de 20 225 usuarios de Instagram en el incidente. La carta original enviada a Maine enumera 30 usuarios del estado e indica que el grupo incluye cuentas cuyas contraseñas se restablecieron mediante la herramienta de asistencia, que no tenían 2FA y a las que probablemente accedió un tercero no autorizado. Esa definición explica por qué la cifra representa un límite máximo a efectos de investigación y notificación, y no un recuento definitivo de víctimas confirmadas.

Meta señaló que algunos restablecimientos podrían haber sido realizados legítimamente por los titulares de las cuentas. Una misma persona también puede controlar más de una cuenta, y una investigación posterior podría reducir ese límite máximo.

Meta indicó que una cuenta de Instagram a la que se hubiera accedido podía dejar expuestos datos de contacto, como una dirección de correo electrónico o un número de teléfono; la fecha de nacimiento; publicaciones y contenido de redes sociales, incluidas fotos, videos e historias; mensajes directos y comunicaciones; la actividad de la cuenta y el historial de interacciones; detalles del perfil, como la biografía y la foto de perfil; y cuentas conectadas o servicios vinculados.

La empresa señaló expresamente que desconocía si se había accedido realmente a información personal y, en tal caso, a cuál. Aunque se restablecieron contraseñas, Meta no informó de la exposición de una base de datos de contraseñas en texto plano ni de hashes de contraseñas, por lo que no se añade ninguna categoría de datos relativa a contraseñas.

La documentación presentada en Maine señala el 17 de abril de 2026 como fecha del incidente, mientras que la carta de Meta no especifica por separado cuándo comenzaron los ataques. Meta descubrió la explotación activa el 31 de mayo y fechó su notificación a las autoridades el 5 de junio.

Este registro se refiere al proceso de recuperación de High Touch Support de Instagram; no implica que Facebook, WhatsApp, Threads o todos los productos de Meta AI se vieran comprometidos. Meta indicó que había empezado a revisar procesos de recuperación similares en sus distintas plataformas, pero esa revisión preventiva no demuestra que el mismo fallo existiera o se hubiera explotado en otro producto.

El mismo día en que detectó la explotación, Meta desactivó la herramienta de asistencia basada en inteligencia artificial e invalidó los enlaces de restablecimiento de contraseñas existentes que se habían generado a través de la ruta vulnerable. Sometió las cuentas potencialmente afectadas a un control de seguridad obligatorio y exigió a los usuarios autenticarse, restablecer sus contraseñas e iniciar sesión de nuevo a través de canales verificados antes de recuperar el control.

Meta indicó que corregiría el mecanismo de verificación del correo electrónico en el punto de entrada del proceso de recuperación antes de volver a poner la herramienta en funcionamiento y que realizaría una revisión exhaustiva de los procesos de recuperación de cuentas similares en sus distintas plataformas. Se recomendó a los usuarios afectados revisar los ajustes de Seguridad de la cuenta y activar la autenticación de dos factores. Estas medidas abordan directamente la causa técnica confirmada del incidente.

La cifra de 20 225 es el límite máximo comunicado de cuentas potencialmente afectadas. El abanico de datos accesibles es amplio, pero no se confirmó que se hubieran consultado o extraído datos de todas las categorías.

Los usuarios deben cambiar su contraseña de Instagram, activar la autenticación de dos factores, revisar las sesiones que no reconozcan y las aplicaciones conectadas, y comprobar si se han producido cambios inesperados en su correo electrónico o número de teléfono. Dado que los mensajes directos podrían haber sido visibles en las cuentas a las que se accedió, sus contactos deben verificar de forma independiente las solicitudes inesperadas de dinero o códigos de autenticación. Estas recomendaciones se basan en el mecanismo verificado de toma de control de cuentas y no presuponen una filtración masiva de una base de datos, que no se ha demostrado.