Violation de données Meta Instagram HTS 2026

High Touch Support est un outil assisté par l’IA, conçu pour aider les utilisateurs privés d’accès à leur compte Instagram à obtenir de l’assistance et à demander un lien de réinitialisation du mot de passe par e-mail. Meta a indiqué que l’outil accomplissait la tâche prévue, mais qu’un bug dans un chemin d’exécution distinct empêchait de vérifier si l’adresse fournie dans la demande correspondait à celle enregistrée pour le compte. Au lieu de rejeter une adresse non associée au compte, le système y envoyait le lien.

Après avoir utilisé le lien et modifié le mot de passe, un tiers non autorisé pouvait se connecter si l’authentification à deux facteurs n’était pas activée sur le compte. L’incident ne se limitait donc pas à l’envoi d’un e-mail de réinitialisation à la mauvaise adresse : selon la notification de Meta, des tiers non autorisés ont probablement accédé à certains comptes. L’authentification à deux facteurs pouvait empêcher que ce même lien de réinitialisation permette une connexion au compte.

BleepingComputer a rapporté que Meta avait déclaré un total de 20 225 utilisateurs Instagram concernés par l’incident. Le courrier de référence adressé au Maine recense 30 utilisateurs dans cet État et précise que le groupe comprend des comptes dont le mot de passe a été réinitialisé via l’outil d’assistance, sans 2FA, et auxquels un tiers non autorisé a probablement accédé. Cette définition explique pourquoi le chiffre représente une limite supérieure retenue pour l’enquête et la notification, plutôt qu’un décompte définitif de victimes avérées.

Meta a précisé que certaines réinitialisations avaient peut-être été effectuées légitimement par les propriétaires des comptes. Une même personne peut également contrôler plusieurs comptes, et des investigations ultérieures pourraient réduire cette limite supérieure.

Selon Meta, l’accès à un compte Instagram pouvait exposer des coordonnées telles qu’une adresse e-mail ou un numéro de téléphone, la date de naissance, des publications et contenus sur le réseau social, notamment des photos, des vidéos et des stories, des messages directs et des communications, l’activité du compte et l’historique des interactions, des informations de profil telles qu’une biographie et une photo de profil, ainsi que des comptes associés ou des services liés.

L’entreprise a expressément indiqué qu’elle ignorait quelles informations personnelles avaient effectivement été consultées, et même si de telles informations l’avaient été. Bien que des mots de passe aient été réinitialisés, Meta n’a signalé aucune exposition d’une base de données de mots de passe en clair ni d’empreintes de mots de passe. Aucune catégorie de données relative aux mots de passe n’est donc ajoutée.

Le document déposé au Maine indique le 17 avril 2026 comme date de l’incident, tandis que le courrier de Meta ne précise pas séparément quand les attaques ont commencé. Meta a découvert une exploitation active le 31 mai et a daté sa notification aux autorités du 5 juin.

Cette fiche concerne le parcours de récupération de comptes High Touch Support d’Instagram; elle ne signifie pas que Facebook, WhatsApp, Threads ou l’ensemble des produits Meta AI ont été compromis. Meta a indiqué avoir commencé à examiner des parcours de récupération similaires sur ses différentes plateformes, mais cet examen préventif ne démontre pas que la même faille existait ou avait été exploitée dans un autre produit.

Le jour où Meta a identifié l’exploitation de la faille, l’entreprise a désactivé l’outil d’assistance assisté par l’IA et invalidé les liens de réinitialisation de mot de passe existants qui avaient été générés via le chemin vulnérable. Elle a soumis les comptes potentiellement touchés à un contrôle de sécurité obligatoire et exigé que les utilisateurs s’authentifient, réinitialisent leur mot de passe et se reconnectent par des canaux vérifiés avant de reprendre le contrôle de leur compte.

Meta a indiqué qu’elle corrigerait le contrôle de vérification de l’adresse e-mail au point d’entrée du parcours de récupération avant de remettre l’outil en service, et qu’elle procéderait à un examen complet des parcours similaires de récupération de comptes sur ses différentes plateformes. Les utilisateurs concernés ont été invités à vérifier les paramètres de sécurité des comptes et à activer l’authentification à deux facteurs. Ces mesures répondent directement à la cause technique confirmée de l’incident.

Le chiffre de 20 225 correspond au nombre maximal déclaré de comptes potentiellement touchés. L’éventail des données accessibles est large, mais la consultation ou l’extraction de chaque catégorie n’a pas été confirmée.

Vous devriez modifier votre mot de passe Instagram, activer l’authentification à deux facteurs, examiner les sessions que vous ne reconnaissez pas et les applications connectées, et vérifier qu’aucune modification inattendue de votre adresse e-mail ou de votre numéro de téléphone n’a eu lieu. Comme les messages directs ont pu être visibles dans les comptes auxquels des tiers ont accédé, vos contacts devraient vérifier de manière indépendante toute demande inattendue d’argent ou de codes d’authentification. Ces conseils découlent du mécanisme vérifié de prise de contrôle des comptes et ne supposent pas l’existence d’une fuite massive de base de données qui n’a pas été démontrée.