Le chatbot d’assistance de Meta est piégé et livre à des pirates le contrôle de comptes Instagram
Des pirates ont pris le contrôle de comptes Instagram en demandant à l’assistant IA du support de Meta de lier une nouvelle adresse électronique à un compte cible, souvent via un VPN pour apparaître à l’endroit où se trouve le propriétaire ; le bot envoyait un code de vérification au pirate, ce qui permettait de réinitialiser le mot de passe. La faille a coïncidé avec des prises de contrôle de comptes très en vue, dont un compte utilisé par la Maison-Blanche de Barack Obama, avant que Meta indique que le problème était résolu et qu’elle sécurisait les comptes touchés.
Meta avait déployé en mars l’assistance par IA sur tous les comptes Facebook et Instagram, avec la possibilité de réinitialiser les mots de passe et de procéder à la récupération de comptes. Des victimes disent n’avoir pas pu joindre un humain pour récupérer leurs comptes volés. On ignore combien de comptes ont été touchés.
Contesté. Le porte-parole de Meta, Andy Stone, a déclaré que les affirmations selon lesquelles la faille aurait servi à pirater les comptes de dirigeants mondiaux étaient « totalement fausses ».
Ce qui l’aurait évité
Exiger une vérification solide de la propriété du compte et une relecture humaine pour toute modification de récupération de compte aurait très probablement empêché ces prises de contrôle.
Garde-fous
- G1 Moindre privilège Défaillant Le bot d’assistance pouvait modifier les courriels de récupération de compte, une action hautement sensible.
- G2 Validation humaine Défaillant Aucune relecture humaine avant de relier un compte à une nouvelle adresse électronique.
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Défaillant Le bot a accepté la demande d’un imposteur sans vérifier la propriété du compte.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Défaillant Les victimes disent n’avoir eu aucun moyen de joindre un support humain.
- G8 Réversibilité Partiel Meta affirme avoir corrigé le problème et sécurisé les comptes touchés.
Sources
-
“Hackers say that they used Meta’s AI support chatbot to break into a host of high-profile Instagram profiles by asking the support bot to change the email address associated with the target account.”
-
“Instagram says it has resolved an issue which saw hackers trick its AI support tool into giving them access to other users' accounts.”
L’indice de confiance de 67 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 2 sources