Утечка данных Meta Instagram HTS 2026

High Touch Support, инструмент с поддержкой ИИ, предназначенный для помощи пользователям Instagram, утратившим доступ к аккаунту: он позволяет обратиться в службу поддержки и запросить ссылку для сброса пароля по электронной почте. По заявлению Meta, инструмент выполнял свою задачу, однако ошибка в другой ветви кода приводила к тому, что система не проверяла, совпадает ли адрес, указанный в запросе, с адресом, зарегистрированным для аккаунта. Вместо того чтобы отклонить запрос с адресом, не связанным с аккаунтом, система отправляла ссылку на этот адрес.

Воспользовавшись ссылкой и изменив пароль, посторонний мог войти в аккаунт, если в нём не была включена двухфакторная аутентификация. Таким образом, инцидент не ограничивался отправкой письма для сброса пароля не тому адресату: в уведомлении Meta говорится, что к некоторым аккаунтам, вероятно, получили доступ посторонние. Двухфакторная аутентификация могла предотвратить успешный вход в аккаунт после сброса пароля по такой ссылке.

BleepingComputer сообщил, что Meta раскрыла общее число пользователей Instagram, затронутых инцидентом: 20 225. В самом письме, направленном в штат Мэн, перечислены 30 пользователей в этом штате. Там также говорится, что в эту группу входят аккаунты, пароли которых были сброшены через инструмент поддержки, в которых не была включена 2FA и к которым, вероятно, получили доступ посторонние. Такое определение объясняет, почему это число является верхней границей для расследования и уведомления пользователей, а не окончательным числом подтверждённых пострадавших.

Meta заявила, что некоторые сбросы паролей могли быть законно выполнены владельцами аккаунтов. Кроме того, один человек может управлять несколькими аккаунтами, а дальнейшее расследование может снизить эту верхнюю границу.

По заявлению Meta, доступ к аккаунту Instagram мог открыть контактную информацию, например адрес электронной почты или номер телефона, дату рождения, публикации и контент в социальной сети, включая фотографии, видео и истории, личные сообщения и переписку, историю действий и взаимодействий в аккаунте, сведения профиля, например биографию и фотографию профиля, а также подключённые аккаунты или связанные сервисы.

Компания отдельно заявила, что ей неизвестно, какие персональные данные были фактически просмотрены и был ли вообще получен доступ к таким данным. Хотя пароли были сброшены, Meta не сообщала об утечке базы паролей в открытом виде или хешей паролей, поэтому категория данных о паролях не добавлена.

В документе, поданном в штат Мэн, датой инцидента указано 17 апреля 2026 года, при этом в письме Meta отдельно не уточняется, когда начались атаки. Meta обнаружила активное использование уязвимости 31 мая, а её уведомление регулятору датировано 5 июня.

Эта запись касается процесса восстановления доступа через High Touch Support в Instagram. Она не означает, что были скомпрометированы Facebook, WhatsApp, Threads или все продукты Meta AI. Meta заявила, что начала проверку аналогичных процессов восстановления доступа на своих платформах, но такая предупредительная проверка не подтверждает, что та же уязвимость существовала или использовалась в другом продукте.

В день обнаружения использования уязвимости Meta отключила инструмент поддержки с ИИ и аннулировала действующие ссылки для сброса пароля, созданные через уязвимую ветвь кода. Для потенциально затронутых аккаунтов компания ввела обязательную проверку безопасности: прежде чем восстановить контроль над аккаунтом, пользователям требовалось пройти аутентификацию, сбросить пароль и повторно войти через проверенные каналы.

Meta заявила, что перед повторным запуском инструмента исправит механизм проверки адреса электронной почты на начальном этапе восстановления доступа и проведёт комплексную проверку аналогичных процессов восстановления аккаунтов на своих платформах. Затронутым пользователям рекомендовали проверить настройки безопасности аккаунтов и включить двухфакторную аутентификацию. Эти меры направлены непосредственно на устранение подтверждённой технической причины инцидента.

Число 20 225, это обнародованная верхняя граница числа потенциально затронутых аккаунтов. Перечень данных, которые могли быть доступны, обширен, но просмотр или извлечение данных каждой категории не подтверждены.

Пользователям следует изменить пароль Instagram, включить двухфакторную аутентификацию, проверить незнакомые сеансы и подключённые приложения, а также убедиться, что адрес электронной почты или номер телефона не были неожиданно изменены. Поскольку в аккаунтах, к которым получили доступ посторонние, могли быть видны личные сообщения, собеседникам пользователей следует самостоятельно проверять неожиданные просьбы отправить деньги или сообщить коды аутентификации. Эти рекомендации учитывают подтверждённый механизм захвата аккаунтов и не подразумевают массовой утечки базы данных, факт которой не доказан.