Im Quellenvergleich
Worin die Quellen übereinstimmen
Hacker haben den KI-gestützten Support-Chatbot von Meta ausgenutzt, um Instagram-Konten zu übernehmen. Sie baten den Chatbot, die hinterlegte E-Mail-Adresse des Zielkontos zu ändern, und erhielten so einen Passwort-Reset-Link. Betroffen waren unter anderem das Obama-White-House-Konto, der Account der US Space Force und der von Sephora. Meta bestätigte den Vorfall und gab an, das Problem behoben zu haben. Meta gab später bekannt, dass rund 20.000 Accounts betroffen waren. Die Angriffe liefen von etwa Mitte April bis Ende Mai. Meta deaktivierte den Chatbot, entfernte den fehlerhaften Code und erklärte alle über das System generierten Links für ungültig. Die Quellen berichten weitgehend übereinstimmend, weichen aber in Details ab.
Aktualisierungen
06.07.2026
Meta gab später bekannt, dass rund 20.000 Accounts betroffen waren.
Die Angriffe liefen von etwa Mitte April bis Ende Mai.
Meta deaktivierte den Chatbot, entfernte den fehlerhaften Code und erklärte alle über das System generierten Links für ungültig.
Worin sie sich unterscheidenAnzahl der betroffenen Konten·Rolle der Zwei-Faktor-Authentifizierung·Zusätzliche Methode zur Umgehung der Identitätsprüfung+3 weitere
Anzahl der betroffenen KontenRund 20.000 Accounts waren betroffen.- Meta bestätigte bis zu 20.225 betroffene Konten.1
Rolle der Zwei-Faktor-Authentifizierung- Die Zwei-Faktor-Authentifizierung wurde umgangen.1
- Gefährdet war jeder Account ohne Zwei-Faktor-Authentifizierung.2
Zusätzliche Methode zur Umgehung der IdentitätsprüfungDie Angreifer täuschten per VPN den Standort des Opfers vor.- Die Hacker umgingen Metas automatisierte Identitätsprüfung zusätzlich, indem sie öffentliche Instagram-Fotos durch KI-Videogeneratoren jagten und so realistische Selfie-Clips erzeugten.1
Reaktion von Meta auf die VorwürfeMeta bestätigte die Sicherheitslücke und gab an, sie behoben zu haben.- Meta sprach von einem Programmierfehler.2
- Meta äußerte sich nicht zu den Vorwürfen.3
Zeitraum der Angriffe- Die Angriffe liefen von etwa Mitte April bis Ende Mai.1
- Der Exploit war seit Februar aktiv.4
Zugriff auf Daten nach der Übernahme- Die Angreifer konnten auf alle Daten zugreifen – inklusive Geburtsdatum, Nachrichten und verknüpfter Facebook-Accounts.2
- Meta gibt an, nicht zu wissen, welche Daten tatsächlich eingesehen wurden.1