Meta Instagram HTS 2026 数据泄露事件
Meta Instagram HTS 2026 数据泄露事件是一起账户接管事件，起因是未经授权者利用了 Instagram 的 AI 辅助账户恢复工具 High Touch Support 中的一处验证漏洞。Meta 的监管通报称，系统未能妥善确认密码重置申请者提供的电子邮箱地址是否与目标 Instagram 账户关联。因此，攻击者能够收到不属于自己的账户的密码重置链接。
暴露的数据类型
7- Contact information (potentially accessible)
- Dates of birth (potentially accessible)
- Social media posts and content (potentially accessible)
- Direct messages and communications (potentially accessible)
- Account activity and interaction history (potentially accessible)
- Profile information (potentially accessible)
- Connected accounts and linked services (potentially accessible)
关于此次数据泄露
Meta 于2026年5月31日发现该漏洞遭到利用。公司提交给缅因州总检察长的函件列出了该州的30个账户，而据公开报道，申报涉及的总数为20,225个可能受影响的 Instagram 账户。这一数字并非经证实的独立受害人数，也不代表每个账户中的数据都已被确认遭到查看；它是 Meta 披露的、纳入此次应对范围的账户数量上限。
事件是如何发生的？
High Touch Support 是一款 AI 辅助工具，旨在帮助无法登录账户的 Instagram 用户获得支持，并申请通过电子邮件接收密码重置链接。Meta 表示，该工具完成了预定任务，但另一条代码路径中的缺陷导致系统未检查申请中提供的邮箱地址是否与账户注册邮箱一致。系统没有拒绝这一未与账户关联的地址，反而将链接发送到了该地址。
未经授权者使用链接更改密码后，如果账户未启用双重身份验证，就能够登录。因此，这起事件不只是将密码重置邮件发错了地址：Meta 的通报称，部分账户很可能已被未经授权者访问。双重身份验证可以阻止对方仅凭同一重置链接成功登录账户。
应如何理解20,225个账户这一数字？
BleepingComputer 报道称，Meta 披露此次事件共涉及20,225名 Instagram 用户。发往缅因州的原始函件列出了该州的30名用户，并称这一群体包括通过该支持工具重置过密码、未启用2FA且很可能已被未经授权者访问的账户。这一定义说明，该数字是调查和通知范围的上限，而非最终确认的受害者人数。
Meta 表示，部分密码重置可能是账户所有者的合法操作。同一个人也可能控制多个账户，后续调查还可能缩小这一上限。
哪些信息可能被访问？
Meta 表示，如果 Instagram 账户被访问，可能暴露的信息包括电子邮箱地址或电话号码等联系方式、出生日期、社交媒体帖子及照片、视频和限时动态等内容、私信及其他通信内容、账户活动与互动记录、个人简介和头像等个人资料，以及关联账户或关联服务。
该公司特别说明，并不清楚是否确有个人信息被访问，也不清楚具体有哪些信息被访问。虽然密码遭到重置，但 Meta 并未报告明文密码数据库或密码哈希值泄露，因此本记录未添加密码数据类别。
事件日期与影响范围
缅因州的申报材料将事件日期列为2026年4月17日，但 Meta 的函件并未另行说明攻击何时开始。Meta 于5月31日发现漏洞正被利用，其监管通报落款日期为6月5日。
本记录涉及 Instagram 的 High Touch Support 账户恢复流程，并不意味着 Facebook、WhatsApp、Threads 或所有 Meta AI 产品都遭到了入侵。Meta 表示，已开始审查旗下各平台的类似恢复流程，但这项预防性审查并不能证明其他产品中也存在同一漏洞，或该漏洞在其他产品中也遭到了利用。
Meta 的应对措施
在发现漏洞遭到利用的当天，Meta 停用了这款 AI 辅助支持工具，并使此前通过存在漏洞的路径生成的密码重置链接失效。公司还要求可能受影响的账户通过强制安全检查；用户必须完成身份验证、重置密码，并通过经验证的渠道重新登录，才能重新取得账户控制权。
Meta 表示，将在重新上线该工具前修复恢复流程入口处的邮箱验证机制，并全面审查旗下各平台的类似账户恢复流程。公司建议受影响用户检查账户安全设置并启用双重身份验证。这些措施直接针对已确认的事件技术原因。
应如何看待这起事件？
20,225是已披露的可能受影响账户数量上限。可能被访问的数据范围很广，但并未确认每一类数据都遭到了查看或提取。
用户应更改 Instagram 密码、启用双重身份验证、检查不熟悉的登录会话和关联应用，并留意邮箱地址或电话号码是否出现非预期变更。由于被访问账户中的私信可能已被查看，联系人在收到意料之外的转账或索取验证码请求时，应通过独立渠道核实。这些建议基于已证实的账户接管路径，并不意味着发生了尚未证实的大规模数据库泄露。
