Instagrams KI-Passwort-Reset war die Schwachstelle — nicht die 2FA

Meta hat bestätigt, dass mehr als 20.000 Instagram-Konten übernommen wurden, nachdem Angreifer einen KI-gestützten Wiederherstellungsablauf missbraucht hatten. Eine Breach-Meldung an den Attorney General von Maine deckt Kompromittierungen von etwa Mitte April bis Anfang Juni 2026 ab, als Meta die Lücke schloss.

Der Angriff brauchte kein gestohlenes Passwort. Hacker brachten Metas Support-Chatbot dazu, eine Passwort-Reset-Anfrage als legitim zu behandeln und den Link oder Code an eine von ihnen kontrollierte E-Mail zu senden — nicht an die Adresse des Kontos.

So wurde der Chatbot-Reset missbraucht

Laut Metas Mitteilung handelte es sich um eine Schwachstelle in einem KI-gestützten Instagram-Wiederherstellungssystem. Angreifer konnten Passwörter von Konten ohne Zwei-Faktor-Authentifizierung zurücksetzen.

Meta sagte, das Tool habe wie vorgesehen funktioniert, aber ein anderer Codepfad habe nicht geprüft, ob die Recovery-E-Mail zur Instagram-Adresse gehörte. Bei einer nicht verknüpften Adresse schickte das System den Reset-Link dorthin statt die Anfrage abzulehnen.

Sobald der Link im Postfach des Angreifers lag, konnte er das Passwort ändern und das Konto wie der Eigentümer nutzen — Profil, Beiträge, Direktnachrichten und verknüpfte Dienste.

Warum ein starkes Passwort nicht reichte

Ein starkes Passwort hilft nur, wenn niemand anderes es zurücksetzen kann. Hier war der Reset selbst der Fehler. Konten ohne 2FA waren betroffen.

Meta gibt an, nicht zu wissen, welche personenbezogenen Daten tatsächlich eingesehen wurden. Das Unternehmen hat den KI-Chatbot-Pfad deaktiviert, den unsicheren Code entfernt, Betroffene angewiesen, Passwörter über verifizierte Kanäle zurückzusetzen, und prüft ähnliche Chatbots auf anderen Plattformen.

Was Sie tun sollten

• Schalten Sie die Zwei-Faktor-Authentifizierung ein — idealerweise Authenticator-App oder Passkey, nicht nur SMS.
• Lesen Sie unseren Guide zu Passkeys, wenn Sie eine phishing-resistente Option ohne geteiltes Geheimnis wollen.
• Nutzen Sie überall ein einzigartiges Passwort. Erzeugen Sie eines mit unserem Passwort-Generator und speichern Sie es im Manager.
• Behandeln Sie unerwartete „Passwort zurücksetzen“-Mails als Warnsignal — besonders wenn Sie keinen Reset angefordert haben.
• Prüfen Sie Recovery-E-Mail und Telefon bei wichtigen Konten, damit sie nicht still getauscht werden können.
• Kritische Logins sollten nicht nur auf ein Passwort setzen — siehe 10 Konten, die mehr als ein Passwort brauchen.

Die breitere Lehre für KI-Konto-Wiederherstellung

KI-Support-Tools, die Zugangsdaten ändern können, brauchen dieselben harten Checks wie jedes andere Recovery-System: Identität prüfen, freien Chat nicht als Besitzbeweis behandeln und Reset-Codes nie an unverifizierte Adressen senden.

Dieser Vorfall erinnert daran: bequeme Wiederherstellung ohne harte Verifikation ist immer noch ein Passwort-Reset-Angriff — nur mit einem Chatbot in der Mitte.

Quelle

Zack Whittaker, this week in security — Meta bestätigt Tausende Instagram-Hacks über den KI-Chatbot