Discussion :

[Anthony]

Des hackers ont piraté des comptes Instagram en demandant au chatbot IA de Meta de réinitialiser les mots de passe, les comptes de la Maison-Blanche d'Obama et d'un officiel de l'US Space Force ont été compromis

Des pirates informatiques sont parvenus à tromper le chatbot d'assistance alimenté par l'intelligence artificielle (IA) de Meta pour qu'il ajoute leur adresse e-mail aux comptes Instagram des victimes et réinitialise leurs mots de passe. Cette attaque n'a nécessité aucun accès aux comptes de messagerie des victimes et aurait compromis plusieurs comptes de premier plan, dont celui de la Maison-Blanche sous l'administration Obama et celui d'un haut responsable de l'US Space Force. L'incident a mis en lumière la manière dont les outils d'IA peuvent créer de nouvelles surfaces d'attaque lorsqu'ils sont dotés de privilèges sur les fonctions sensibles des comptes. Meta a déclaré que le problème avait depuis été résolu.

Meta Platforms, Inc. (opérant sous le nom de Meta) est une multinationale américaine du secteur des technologies dont le siège social est situé à Menlo Park, en Californie. Meta détient et exploite plusieurs plateformes de réseaux sociaux et services de communication de premier plan, notamment Facebook, Instagram, WhatsApp, Messenger et Threads. La société gère également un réseau publicitaire pour ses propres sites et pour des tiers. Meta est considérée comme faisant partie des « Big Tech ».

Instagram est un réseau social américain de partage de photos et de courtes vidéos appartenant à Meta Platforms. Il permet aux utilisateurs de publier des contenus multimédias pouvant être modifiés à l'aide de filtres, classés par hashtags et associés à un lieu grâce au géomarquage. Les publications peuvent être partagées publiquement ou avec des abonnés préapprouvés. Les utilisateurs peuvent parcourir le contenu d'autres utilisateurs par tags et par lieux, consulter les contenus tendance, « aimer » des photos et suivre d'autres utilisateurs pour ajouter leur contenu à leur fil d'actualité personnel. Cette plateforme de réseau social axée sur l'image, exploitée par Meta, est disponible sur iOS, Android, Windows et le Web.

Le week-end de fin mai 2026, des hackers ont piraté des comptes Instagram en trompant le chatbot d'assistance de Meta, alimenté par l'IA, afin qu'il leur accorde l'accès. Cette attaque n'a nécessité ni accès à l'adresse e-mail de la victime, ni lien de phishing, ni logiciel malveillant. Le hacker a simplement demandé au chatbot d'ajouter une nouvelle adresse e-mail au compte d'une autre personne.

Une vidéo publiée sur X montrait la procédure étape par étape. Le pirate a utilisé un VPN pour masquer la localisation présumée de la cible, contournant ainsi les mesures de protection automatiques d'Instagram. Il a ensuite ouvert une conversation avec le chatbot d'assistance IA de Meta et a demandé à l'assistant d'ajouter une nouvelle adresse e-mail au compte de la cible.

Le chatbot a envoyé un code de vérification à l'adresse e-mail du pirate informatique. Ce dernier a renvoyé le code au chatbot. Le bot a alors affiché un bouton « Réinitialiser le mot de passe » et le pirate informatique a saisi un nouveau mot de passe avant de prendre le contrôle du compte.

À aucun moment, le pirate n'a eu besoin d'accéder à l'adresse e-mail légitime associée au compte Instagram de la victime. Des experts ont confirmé que la boîte mail publique du pirate, visible dans la vidéo, avait bien reçu le code de vérification. L'attaque a exploité une faille fondamentale : le chatbot IA a traité son interlocuteur comme le titulaire du compte sans vérifier son identité.

Parmi les comptes piratés figuraient le compte Instagram de la Maison Blanche de l'époque Obama, inactif depuis 2017, ainsi que celui du sergent-chef John Bentivegna, chef de la Force spatiale américaine. La chercheuse en sécurité Jane Wong a déclaré que son compte avait également été piraté.

« Le mot de passe a été modifié à mon insu et j'ai reçu plusieurs tentatives de réinitialisation de mot de passe tout au long de la journée d'hier », a déclaré Jane Wong. « C'est assez inquiétant. » De nombreux utilisateurs sur les forums en ligne ont signalé des piratages similaires au cours du même week-end.

Andy Stone, porte-parole d'Instagram, a déclaré le lundi 1er juin que le problème avait été résolu. On ignore toutefois combien de comptes ont été piratés.

Cette attaque est un exemple parfait qui illustre pourquoi il est dangereux de déployer des chatbots IA dotés d’autorisations de niveau compte. Les clients d’Agentforce de Salesforce ont toujours hésité à laisser les agents IA effectuer des opérations financières importantes, précisément en raison de ce risque. L’analyste Rebecca Wettemann a décrit cette crainte comme « le risque que l’IA se mette à agir de son propre chef au milieu de la nuit et rembourse toute une série de transactions ». Meta a donné à son IA la possibilité de réinitialiser des mots de passe, et celle-ci a fait exactement ce qu’on lui avait demandé, mais pour la mauvaise personne.

Le paysage de la sécurité des agents IA génère de nouvelles catégories de vulnérabilités à un rythme plus rapide que celui auquel les entreprises parviennent à y remédier. L'exploit « Claw Chain » d'OpenClaw a exploité les privilèges de sandbox de l'agent lui-même. Cette attaque contre Instagram a quant à elle exploité les privilèges de gestion de compte d'un bot d'assistance IA. Le point commun : lorsqu'un agent IA dispose des autorisations nécessaires pour agir, la sécurité du système dépend entièrement de sa capacité à vérifier l'identité de la personne qui lui demande d'agir.

L'assistant IA de support client de Meta a été conçu pour réduire les coûts liés au service client assuré par des humains. Il a rempli sa mission. Il a toutefois créé une faille de sécurité que les agents humains n'auraient pas laissée passer : un agent humain aurait vérifié l'identité de l'appelant avant d'ajouter une nouvelle adresse e-mail à un compte. Ce n'était pas le cas du chatbot.

Sources : Publication sur X, The CyberSec Guru

Et vous ?

Quelle lecture faites-vous de cette situation ?
Selon vous, la décision de Meta d'accorder à son agent d'assistance IA des privilèges sur les comptes est-elle crédible ou pertinente ?

Voir aussi :

Des employés de Meta critiquent Mark Zuckerberg pour avoir enregistré chaque frappe clavier des employés afin d'entraîner l'IA, les employés ne pouvant pas refuser d'être suivis par le logiciel de surveillance

Les pirates peuvent lire les conversations privées avec les assistants d'IA même lorsqu'elles sont chiffrées, une attaque déduit les réponses avec une précision parfaite des mots dans 29 % des cas

55 % des hackers estiment que l'IA sera meilleure que le hacker moyen d'ici cinq ans, alors que 72 % pensent que l'IA générative ne sera pas en mesure de reproduire la créativité des hackers humains

L'utilisation de l'IA par les pirates informatiques a entraîné une hausse considérable de la cybercriminalité, dont le coût pour les internautes devrait atteindre 9 220 milliards de dollars en 2024

[gabi7756]

Tout à fait normal que l'IA est le droit d'écriture sur les bases d'instagram... Tout va bien !

[popo]

Tout à fait normal que l'IA est le droit d'écriture sur les bases d'instagram... Tout va bien !

Je ne vois rien de choquant à ce que l'IA d'Instagram puisse agir sur Instagram.
Ce qui est choquant c'est qu'elle le fasse sans être certain de la légitimité de la demande (vérifier l'identité et les droits d'un consommateur, c'est la base).