上周末，奥巴马白宫和美国太空部队首席军士长的Instagram账号被短暂篡改，出现了亲伊朗的图片和信息。此前，Telegram 上开始流传一些教程，教人如何欺骗 Meta 的“AI 支持助手”机器人来重置账号密码。
这是 Telegram 上发布的一段视频的截图，声称展示了如何欺骗 Meta 的 AI 客户支持机器人来重置目标用户的密码。
5 月 31 日，多个 Telegram 即时通讯频道开始流传消息，称 Meta 的 AI 机器人很乐意将电子邮件地址添加到现有帐户，作为该机器人标准密码重置流程的一部分。
一段由亲伊朗黑客在 Telegram 上发布的视频声称，他们记录了一个极其简单的攻击方法。该方法似乎涉及使用 VPN 连接目标用户常住地附近地区的 IP 地址，请求重置账户密码，然后选择与 Meta 的 AI 客服聊天。视频显示，攻击者随后指示该机器人将目标账户关联到一个新的电子邮件地址，之后机器人便会向该地址发送一个一次性验证码，从而允许重置密码。
发布该视频的 Telegram 帐户还链接到亲伊朗的图片、视频和信息的截图，这些图片、视频和信息篡改了被黑客入侵的 Instagram 帐户，称黑客利用该漏洞劫持了许多有价值的（即：简短的）Instagram 帐户名，据称这些帐户名的转售价值超过 50 万美元。
Meta尚未回应针对该视频内容的置评请求，但Meta的Andy Stone在Twitter上表示，问题已经解决，他们正在保护受影响的账户。安全博客thecybersecguru.com 报道称，Meta在周末推送了一个紧急补丁，并澄清后端数据库并未遭到入侵。
Cybersecguru 写道：“Instagram 的人工客服基础设施出了名的差劲。找回被锁定的账户——尤其是高价值账户——可能需要与自动工单系统反复沟通数周。Meta 的解决方案是部署一个对话式人工智能层来处理常见的账户恢复流程：重新关联丢失的电子邮件地址、触发密码重置、验证账户所有权。据推测，该助手旨在减少陷入账户访问困境的合法用户的麻烦。”
Lumen旗下Black Lotus Labs的威胁研究员伊恩·戈尔丁表示，随着越来越多的大型在线平台开始允许人工智能聊天机器人处理敏感的账户恢复请求，我们正在进入一个未知的安全领域。他指出，就像人类客服人员可能被社交工程手段诱使提供未经授权的账户访问权限一样，人工智能机器人同样渴望提供帮助，但也同样容易受到劝诱和欺骗。
“人工智能聊天机器人创造了有趣的新攻击面，我们很可能会看到更多这类攻击，”戈尔丁说。
保护您的各种在线账户意味着充分利用最安全的多因素身份验证 (MFA) 方式（例如密码或安全密钥）。在这种情况下，即使使用 Instagram 提供的安全性最低的 MFA 方式——通过短信发送的一次性验证码——也可能阻止了此次攻击：在 Telegram 上发布视频的黑客表示，他们的攻击无法对任何启用了 MFA 的账户生效。
原文： https://krebsonsecurity.com/2026/06/hackers-used-metas-ai-support-bot-to-seize-instagram-accounts/