Fonti preferite
Durante lo scorso fine settimana, un’ondata di violazioni ha colpito Instagram con una modalità tanto semplice quanto inquietante. Centinaia di account, compresi profili istituzionali di alto profilo come quello degli archivi della Casa Bianca dell’era Obama, del Sergente Maggiore Capo della Space Force John F. Bentivegna, della ricercatrice di sicurezza Jane Manchun Wong e persino del marchio beauty Sephora, sono stati compromessi. Le vittime hanno perso il controllo dei propri account, ritrovandosi password cambiate e profili riempiti di contenuti pro-Iran.
La scoperta più sconcertante? Non si è trattato di una falla nel codice di Instagram, con gli hacker che hanno semplicemente conversato con l’assistente AI di Meta, trasformandolo in un complice involontario. Un caso da manuale di come anche l’intelligenza artificiale possa cadere vittima del social engineering, la tecnica che manipola persone e sistemi per ottenere accessi non autorizzati.
Il metodo circolava già da ore su alcuni canali Telegram prima che i primi account iniziassero a cadere come birilli. Le istruzioni erano semplici: utilizzare una VPN per simulare una connessione dall’area geografica della vittima e avviare una conversazione con l’assistente virtuale di Meta, chiedendo di aggiungere un nuovo indirizzo email all’account target.
Qui sta il cuore del problema: il chatbot inviava un codice di verifica direttamente all’indirizzo email dell’attaccante. Con quel codice, reimpostare la password e prendere il pieno controllo dell’account diventava una formalità. Nessun accesso all’email originale della vittima, nessuna verifica biometrica e nessun campanello d’allarme.
Un video diffuso dagli stessi hacker mostrava il processo passo dopo passo. TechCrunch ha verificato l’efficacia della tecnica, confermando che la vulnerabilità era reale e facilmente sfruttabile ed anche Dark Web Informer ha pubblicato prove dell’exploit prima che Meta intervenisse. La logica dietro l’introduzione di assistenti AI per il supporto utenti è, almeno sulla carta, comprensibile, con l’infrastruttura di assistenza umana di Instagram che è stata per anni oggetto di critiche: recuperare un account può richiedere settimane. L’obiettivo dichiarato di Meta era velocizzare operazioni come il ripristino della password, il collegamento di nuovi indirizzi email e la verifica della proprietà di un profilo.
Il problema è che semplificare i processi per gli utenti significa spesso semplificarli anche per i criminali. Quando un assistente virtuale può eseguire operazioni così sensibili senza controlli sufficienti, diventa automaticamente un nuovo vettore di attacco.
Il caso dimostra come anche i chatbot basati sull’intelligenza artificiale possano diventare bersagli del social engineering. A differenza di un operatore umano, infatti, un’AI può ripetere lo stesso errore migliaia di volte senza accorgersene, trasformando una singola vulnerabilità in un problema di sicurezza su larga scala. Secondo il giornalista Brian Krebs, gli hacker non hanno preso di mira soltanto account di alto profilo, ma anche username Instagram rari, che sul mercato nero possono valere decine di migliaia di dollari. Il valore complessivo degli account compromessi avrebbe addirittura superato il mezzo milione di dollari.
People are now tricking Meta’s AI support assistant to gain access to other people’s Instagram accounts.
This is exactly why AI should never have the authority to make account recovery decisions. pic.twitter.com/GRgw3YuvWi
— sid (@immasiddx) June 1, 2026
Dopo l’attacco, molte vittime hanno raccontato di non essere riuscite a recuperare facilmente i propri profili, trovandosi di fronte a un altro chatbot incapace di risolvere il problema. Meta ha dichiarato di aver corretto rapidamente la vulnerabilità e di aver messo in sicurezza gli account coinvolti, ma casi come quello dell’esperta di sicurezza Jane Manchun Wong, che ha confermato di essere stata colpita, continuano ad alimentare dubbi sull’effettiva portata dell’incidente.
La vicenda ricorda ancora una volta quanto sia importante attivare l’autenticazione a due fattori e, soprattutto, quanto le aziende debbano prevedere controlli più rigorosi quando affidano a un’intelligenza artificiale operazioni delicate come la gestione delle credenziali di accesso.
Mentre Meta cerca di rafforzare la sicurezza dei propri servizi dopo questo episodio, la società continua a trasformare profondamente il proprio ecosistema digitale. Non a caso, nelle scorse settimane l’azienda guidata da Mark Zuckerberg ha annunciato anche l’arrivo dei nuovi abbonamenti Plus per Facebook, Instagram e WhatsApp, un’altra novità destinata a cambiare il modo in cui miliardi di persone utilizzeranno le piattaforme del gruppo nei prossimi mesi.
