- Un error en la interfaz web de Instagram permitía visualizar correos y números de teléfono sin censura previa.
- Ataques mediante inyección de prompts en el chatbot de IA facilitaron el robo de cuentas de alto perfil.
- Incluso los datos personales de Mark Zuckerberg se vieron comprometidos durante el incidente técnico.
- La plataforma ya ha implementado parches de seguridad para cerrar estas vulnerabilidades críticas.
Parece que a Meta se le ha acumulado el trabajo con la seguridad de sus redes sociales en los últimos días. Durante las primeras jornadas de junio, Instagram ha tenido que lidiar con un par de agujeros bastante serios que han dejado tiritando la privacidad de sus usuarios. No hablamos solo de gente anónima, sino que hasta el mismísimo Mark Zuckerberg ha visto cómo sus datos personales daban vueltas por la red por culpa de un descuido técnico en la plataforma.
El lío viene por dos frentes distintos pero igualmente preocupantes: un error de lógica en la web de recuperación de cuentas y una vulnerabilidad en el asistente de inteligencia artificial de la compañía. Lo que empezó como un reporte de varios investigadores en redes sociales terminó confirmándose como una exposición real de números de teléfono y correos electrónicos que, en condiciones normales, deberían estar ocultos tras asteriscos para evitar que cualquier curioso meta las narices donde no le llaman.
El error en el restablecimiento de contraseñas
Uno de los puntos más críticos fue descubierto originalmente por el investigador conocido como Scot en la red X, quien se percató de que la versión web de Instagram estaba haciendo las cosas regular. Resulta que, al intentar recuperar una contraseña, el sistema en lugar de mostrar el típico correo ofuscado, devolvía la dirección completa y el número de móvil asociado a la cuenta. Esto permitía que cualquier atacante con un poco de tiempo pudiera recopilar información privada de perfiles específicos sin despeinarse demasiado.
La repercusión fue tal que cuentas de gran relevancia internacional quedaron expuestas en un abrir y cerrar de ojos. El grupo de ciberseguridad vx-underground llegó a publicar pruebas donde se veía claramente cómo los datos de contacto de la cuenta del propio jefe de Meta aparecían totalmente legibles en la pantalla. Por suerte, la empresa reaccionó con relativa celeridad y aplicó un parche de emergencia en apenas unas horas para cerrar este grifo de datos, aunque el susto ya se lo habían llevado unos cuantos.
IA y secuestro de cuentas de alto perfil
Pero la cosa no quedó ahí, ya que el chatbot de soporte de Meta también ha dado bastantes quebraderos de cabeza. A través de una técnica que los expertos llaman inyección de prompts, algunos atacantes consiguieron engañar a la inteligencia artificial para que vinculara nuevos correos electrónicos a cuentas ajenas. Al hacer esto, el sistema enviaba el código de seguridad directamente al dispositivo del hacker, permitiéndole cambiar la contraseña y tomar el control total del perfil sin pasar por los controles habituales de identidad.
Este método, que destaca por no requerir conocimientos técnicos demasiado avanzados, sirvió para comprometer cuentas institucionales y de empresas muy potentes. Según diversos informes, los accesos robados mediante esta técnica de manipulación llegaron a valorarse en mercados secundarios de Telegram por cifras que superan el millón de dólares. Esto pone de manifiesto que la seguridad de los sistemas automatizados todavía tiene mucho margen de mejora antes de ser totalmente fiables.
Medidas de protección y estado actual de la plataforma
Andy Stone, uno de los portavoces oficiales de Meta, ha salido al paso para confirmar que ambos problemas están ya mitigados. La empresa ha limitado drásticamente los permisos que el bot de IA tenía sobre las herramientas de gestión de cuentas para que no pueda realizar cambios sensibles de forma autónoma. No obstante, los analistas recalcan que este incidente es un aviso para navegantes sobre el riesgo de dar demasiada manga ancha a los asistentes virtuales sin una supervisión humana constante.
Para los que usamos la aplicación a diario en España y el resto del mundo, lo mejor es no bajar la guardia lo más mínimo. Aunque el fallo principal esté parcheado, los datos que se filtraron podrían usarse para lanzar campañas de estafas en el futuro. Es vital estar muy atentos a cualquier SMS o correo sospechoso que pida entrar en enlaces extraños, incluso si parecen venir de la propia Instagram, y por supuesto, tener siempre activada la seguridad de contraseñas y la verificación en dos pasos en nuestro móvil.
Al final, lo ocurrido deja claro que ni siquiera los gigantes tecnológicos están libres de fallos de diseño que pueden poner en jaque la privacidad de millones de personas. Meta ha conseguido tapar el agujero rápido, pero la lección para los usuarios es evidente: la seguridad absoluta en internet es un mito y siempre viene bien desconfiar un poco de los procesos automatizados. Estar informados sobre estos incidentes y mantener medidas de protección básicas sigue siendo la mejor forma de evitar que una tarde cualquiera nos despertemos con la cuenta secuestrada o nuestros datos privados vendidos al mejor postor.
Editor profesional de Tecnología y Software