Angriff auf Instagram-Konten

Ein KI-Chatbot, den Meta – der Konzern hinter Facebook, Instagram und WhatsApp – im März 2026 für den Kundensupport eingeführt hatte, wurde zum Sicherheitsrisiko: Angreifer nutzten das Tool, um sich Zugang zu fremden Instagram-Konten zu verschaffen. Die

erlaubte es, Accounts zu übernehmen, ohne die ursprüngliche E-Mail-Adresse des Besitzers zu kompromittieren. Meta bestätigte das Problem und teilte mit, dass die Lücke inzwischen behoben wurde und betroffene Konten gesichert werden.

Die Angriffsmethode war laut Berichten von

und anderen Tech-Medien erschreckend einfach: Hacker nutzten zunächst ein VPN, um ihren Standort virtuell in die Region des angegriffenen Account-Inhabers zu verlegen. Anschließend starteten sie eine

-Rücksetzung und wechselten in den Chat mit Metas KI-Support-Assistent. Dort forderten sie den Chatbot auf, eine neue E-Mail-Adresse mit dem Konto zu verknüpfen – und zwar eine, die sie selbst kontrollierten. Der KI-Bot sendete daraufhin einen Verifizierungscode an die vom Angreifer angegebene E-Mail-Adresse. Nachdem der Hacker diesen Code im Chat eingegeben hatte, erschien eine Schaltfläche zum Zurücksetzen des Passworts. Mit einem neuen Kennwort übernahmen die Angreifer die vollständige Kontrolle über das Konto. Das alles geschah, ohne dass der KI-Chatbot die Identität des Anfragers überprüfte.

Zu den gehackten Accounts gehörten das seit 2017 inaktive Instagram-Konto des Weißen Hauses aus der Obama-Ära, der Account des Chief Master Sergeant der US Space Force und das Unternehmensprofil von Sephora. Auf dem gehackten Account des Weißen Hauses erschien ein KI-generiertes Bild mit iranischer Propaganda. Laut Berichten kursierten in Telegram-Gruppen Videos und Anleitungen, die zeigten, wie der Angriff durchgeführt werden konnte. Sicherheitsforscher gehen davon aus, dass die Schwachstelle bereits seit Februar oder März 2026 ausgenutzt wurde – möglicherweise fielen ihr Tausende Accounts zum Opfer.

Meta-Kommunikationschef Andy Stone bestätigte, dass das Problem behoben wurde. Wie viele Accounts insgesamt betroffen waren, verriet das Unternehmen nicht. Sicherheitsexperten weisen darauf hin, dass Accounts mit aktivierter

besser geschützt waren – selbst die einfachste Form per SMS-Code hätte den Angriff erschwert oder verhindert. Der Vorfall zeigt, welche Risiken entstehen können, wenn KI-Systeme mit weitreichenden Berechtigungen ausgestattet werden, ohne dass ausreichende Sicherheitsmechanismen zur Identitätsprüfung eingebaut sind. Nutzer sollten sicherstellen, dass sie für ihre Instagram-Konten eine Zwei-Faktor-Authentifizierung aktiviert haben und regelmäßig ihre Sicherheitseinstellungen überprüfen.