Meta ha confirmado que más de 20.000 cuentas de Instagram han sido comprometidas después de que ciberdelincuentes aprovecharan una vulnerabilidad presente en una herramienta interna de recuperación de acceso gestionada con inteligencia artificial.
El fallo permitió que atacantes obtuvieran enlaces legítimos para cambiar contraseñas y acceder a perfiles ajenos.
Un error en la verificación permitió el secuestro de perfiles
El incidente estuvo relacionado con High Touch Support (HTS), una plataforma diseñada para ayudar a usuarios que habían perdido el acceso a sus cuentas de Instagram. Esta herramienta, apoyada por sistemas de inteligencia artificial, facilitaba la gestión de solicitudes de recuperación de credenciales.
Según la información publicada y divulgada por Meta, el problema no se encontraba en la generación de los enlaces de restablecimiento, sino en una comprobación previa que debía verificar que la dirección de correo electrónico utilizada en la solicitud coincidiera con la registrada en la cuenta.
Debido a un error en una parte independiente del sistema, esa validación no se ejecutó correctamente en determinadas circunstancias. Como consecuencia, los atacantes podían introducir direcciones de correo bajo su control y recibir enlaces válidos para modificar la contraseña de perfiles que no les pertenecían.
Una vez obtenido el acceso, los ciberdelincuentes podían tomar el control de la cuenta si el propietario no tenía activada la autenticación en dos pasos.
Más de 20.000 usuarios afectados
Meta ha cifrado en 20.225 las cuentas comprometidas durante esta campaña. La compañía detectó la vulnerabilidad el 31 de mayo de 2026, aunque la documentación presentada ante organismos reguladores apunta a que los ataques podrían haberse iniciado semanas antes.
La magnitud del incidente es especialmente relevante por tratarse de una plataforma con más de 2.000 millones de usuarios activos mensuales en todo el mundo. Aunque el porcentaje de afectados resulta reducido respecto al volumen total de la red social, el número absoluto de víctimas es considerable.
Las primeras señales de alarma llegaron a través de publicaciones realizadas por usuarios que denunciaban haber perdido el control de sus perfiles sin haber recibido avisos de acceso sospechoso ni códigos de autenticación.
Tras analizar los casos, Meta confirmó que todos estaban vinculados a la explotación de la misma vulnerabilidad.
Qué información pudo quedar expuesta
La compañía asegura que no dispone de evidencias concluyentes sobre qué datos concretos fueron consultados o sustraídos por los atacantes. Sin embargo, reconoce que quienes lograron acceder a las cuentas pudieron visualizar una amplia variedad de información personal.
Entre los datos potencialmente accesibles se encuentran las direcciones de correo electrónico asociadas a los perfiles, números de teléfono, fechas de nacimiento, fotografías, vídeos, historias publicadas y mensajes privados.
También habrían quedado expuestos elementos relacionados con la actividad de cada usuario, como interacciones, historial de uso, información biográfica, fotografía de perfil y detalles de otras plataformas o servicios conectados a Instagram.
La posibilidad de acceder a conversaciones privadas y datos de contacto convierte este incidente en un riesgo importante desde el punto de vista de la privacidad y de futuros intentos de fraude o ingeniería social.
Las medidas adoptadas por Meta
Una vez identificado el problema, Meta procedió a desactivar temporalmente el sistema HTS para impedir nuevos accesos indebidos. Paralelamente, anuló todos los enlaces de recuperación generados por la herramienta y puso en marcha controles adicionales de seguridad.
Las cuentas afectadas fueron sometidas a procesos obligatorios de verificación con el objetivo de garantizar que los propietarios legítimos recuperaran el control de sus perfiles.
La empresa también solicitó a los usuarios comprometidos que modificaran sus contraseñas y completaran nuevamente el proceso de autenticación.
Además, ha anunciado cambios en los mecanismos de validación para asegurar que cualquier solicitud futura de recuperación compruebe correctamente la correspondencia entre el correo electrónico facilitado y la información registrada en la cuenta.
La revisión no se limitará únicamente a Instagram. Meta está analizando otros sistemas similares presentes en sus plataformas para detectar posibles debilidades que puedan reproducir situaciones parecidas.
Un nuevo episodio en el historial de sanciones de Meta
El incidente se suma a una larga lista de problemas relacionados con la protección de datos que han afectado a Meta durante los últimos años.
En 2022, las autoridades europeas impusieron una sanción de 265 millones de euros por fallos que permitieron la recopilación masiva de información de usuarios de Facebook mediante técnicas automatizadas.
Ese mismo año, la compañía también recibió otra multa de 91 millones de euros por almacenar contraseñas de cientos de millones de usuarios sin aplicar mecanismos adecuados de cifrado.
Anteriormente, la empresa ya había sido objeto de una penalización de 264 millones de dólares relacionada con una brecha de seguridad que comprometió información personal de más de 29 millones de cuentas de Facebook.
