Meta bestätigt: 20.000 Instagram-Konten durch KI-Panne gestohlen

Instagram-Mutterkonzern Meta nennt nach dem schweren Cy­ber­angriff erstmals konkrete Zahlen. Rund 20.000 Konten fielen Kri­mi­nellen zum Opfer, weil ein fehlerhafter KI-Support-Bot Passwörter ohne E-Mail-Prüfung zurücksetzte.

Instagram-Hack durch KI-Fehler

Ein fehlerhafter KI-Support-Assistent hat Cyber­kriminellen den Diebstahl von rund 20.000 Instagram-Profilen ermöglicht. Zwi­schen Mitte April und Ende Mai 2026 nutzten Angreifer eine Schwachstelle im sogenannten High Touch Support aus. Das System sollte Anwendern eigentlich bei der Wiederherstellung gesperrter Konten helfen, verfehlte den Zweck jedoch komplett.

Die Täter forderten über den Chatbot einen Link zum Zurücksetzen des Passworts an. Aufgrund eines Programmierfehlers prüfte das Werkzeug nicht, ob die angegebene E-Mail-Adresse tatsächlich zum Zielkonto gehörte. Angreifer verknüpften so fremde Profile mit eigenen Adressen und übernahmen die vollständige Kontrolle, sofern die rechtmäßigen Besitzer keine Zwei-Faktor-Authentifizierung aktiviert hatten. Um keinen Verdacht zu erregen, verschleierten die Kriminellen ihre Herkunft über VPN-Verbindungen, die den geografischen Standort der Zielperson simulierten.


Wie Meta (via Bleeping Computer) in einer Meldung an die Ge­ne­ral­staats­an­walt­schaft des US-Bundesstaates Maine bestätigte, erlangten die Hacker weit­rei­chen­den Zugriff. Neben dem reinen Verlust des Kontos drohte das Ausspähen sen­si­bler Daten wie Direktnachrichten, Geburtsdaten, Telefonnummern und pri­va­ter Fotos. Auch die Verknüpfung mit anderen Netzwerken des Konzerns war theoretisch möglich, was den potenziellen Schaden für die Betroffenen deutlich vergrößerte.

In kriminellen Netzwerken auf Telegram entwickelte sich zudem rasch ein lukrativer Handel mit kurzen oder besonders einprägsamen Nutzernamen, die durch die Lücke erbeutet wurden. Die Täter verkauften diese seltenen Adressen für hohe Summen an interessierte Käufer.

Meta stoppt Chatbot nach Datenleck

Nach der Entdeckung der Schwachstelle am 31. Mai 2026 deaktivierte der Betreiber das betroffene Hilfesystem umgehend. Alle bis dahin generierten Links zum Zurücksetzen von Passwörtern verloren ihre Gültigkeit. Potenziell kompromittierte Konten durchlaufen nun einen verpflichtenden Sicherheitsprozess. Die rechtmäßigen Inhaber müssen sich neu authentifizieren und ihre Zugangsdaten umgehend ändern.

Erst wenn eine zuverlässige Überprüfung der hinterlegten Kontaktinformationen sichergestellt ist, soll der digitale Helfer wieder ans Netz gehen. Das verdeutlicht die massiven Risiken der aktuellen Unternehmensstrategie, den Einsatz künstlicher Intelligenz ohne ausreichende Tests voranzutreiben. Mitarbeiter werden intern sogar nach ihrer aktiven Nutzung von KI-Werkzeugen bewertet, was den Druck zur schnellen Implementierung erhöht.

Der Konzern fiel in der Vergangenheit bereits mehrfach durch erhebliche Datenschutzverstöße auf. So verhängte Irland im Jahr 2022 eine Strafe in Höhe von 265 Millionen Euro. Auch eine weitere Strafe über 91 Millionen Euro musste gezahlt werden, weil Passwörter von Millionen Nutzern jahrelang unverschlüsselt im Klartext gespeichert wurden. Solche Vorfälle schwächen das ohnehin angeschlagene Vertrauen der Anwender in die Datensicherheit des Unternehmens.

Nutzt ihr die Zwei-Faktor-Authentifizierung für eure Social-Media-Konten oder stört euch der zusätzliche Schritt beim Login? Teilt eure Erfahrungen mit uns in den Kommentaren!