Il chatbot AI di Meta ha aperto la strada al furto di account Instagram

Per mesi, uno strumento pensato per aiutare gli utenti di Instagram a risolvere i loro problemi si è trasformato in un varco per i malintenzionati. Un difetto nel chatbot di supporto basato su intelligenza artificiale di Meta ha permesso ad attaccanti di prendere il controllo di account Instagram, inclusi profili di alto profilo, semplicemente convincendo il sistema automatico a eseguire operazioni che avrebbe dovuto rifiutare. La notizia non è solo un caso di furto di account: è un segnale preoccupante su come l'automazione del supporto clienti, se mal progettata, possa diventare un canale d'attacco del tutto nuovo.

Come funziona il trucco

L'attacco, ricostruito da più testate e discusso nelle community di sicurezza informatica, combinava due elementi apparentemente semplici. Il primo è una tecnica chiamata prompt injection: in sostanza, l'aggressore formulava messaggi appositamente costruiti per «convincere» il sistema di intelligenza artificiale a ignorare le proprie istruzioni di sicurezza. Il secondo elemento era una VPN, una rete privata virtuale usata per simulare la presenza nella stessa area geografica della vittima. Le dimostrazioni pubbliche hanno mostrato come fosse possibile indurre il bot ad aggiungere o cambiare l'indirizzo email associato all'account, un'operazione che equivale di fatto a prenderne il controllo.

Il punto critico era proprio questo: modificare l'email di recupero di un account. Chi riesce a farlo non ha bisogno di conoscere la password della vittima, perché può semplicemente avviare una procedura di ripristino che arriva alla nuova casella di posta, quella controllata dall'attaccante. La sequenza era efficace perché agganciava proprio questo punto sensibile nel ciclo di vita di un account, bypassando le protezioni tradizionali senza dover scassinare nessuna porta nel senso tecnico del termine.

Il problema strutturale degli assistenti AI con poteri reali

Per capire perché questo tipo di attacco funziona, è utile ricorrere a un concetto della sicurezza informatica: il confused deputy, ovvero il «delegato confuso». Immaginate di dare le chiavi di casa a un portiere di condominio con l'istruzione di aprire solo agli inquilini autorizzati. Se qualcuno riesce a convincere il portiere — attraverso un documento falso o una storia credibile — che ha diritto di entrare, il portiere apre la porta al posto suo. Il problema non è che il portiere sia disonesto: è che ha le chiavi e può essere ingannato. Lo stesso principio vale per un assistente AI che ha il potere di modificare dati sensibili di un account: diventa automaticamente un bersaglio per chi vuole aggirare i controlli di sicurezza.

Questo tipo di attacco è più vicino all'ingegneria sociale — l'arte di manipolare le persone (o i sistemi) per ottenere informazioni o accessi — che a una vulnerabilità tecnica classica. E qui emerge un limite strutturale riconosciuto dagli esperti del settore. Il NCSC del Regno Unito ha spiegato che i modelli linguistici di grandi dimensioni non distinguono in modo nativo tra «istruzioni» e «dati» all'interno di un messaggio: non c'è una separazione tecnica netta come quella che esiste, ad esempio, nei database, dove da decenni si usano metodi robusti per isolare i comandi dai contenuti. Questo significa che non basta aggiungere filtri o regole scritte per rendere un sistema del genere sicuro: occorre costruire controlli al di fuori del modello stesso.

Un assistente AI con accesso a operazioni sensibili è parte del perimetro di sicurezza, non uno strumento neutro

Meta aveva presentato il suo assistente di supporto AI come un modo per offrire assistenza continua e migliorare la sicurezza nelle sue app, con l'obiettivo dichiarato di ridurre i tempi di risposta e gestire volumi elevati di richieste senza dipendere esclusivamente dagli operatori umani. La logica industriale è comprensibile: Instagram ha centinaia di milioni di utenti e una quantità enorme di richieste di supporto ogni giorno. Automatizzare l'assistenza significa risparmiare, scalare, rispondere più in fretta. Il problema è che alcune richieste non sono semplice assistenza: sono operazioni di sicurezza, come il cambio di email, il ripristino delle credenziali, il recupero dell'accesso. E in questi casi, la velocità può diventare un rischio.

Fidarsi della posizione geografica è rischioso

Uno degli aspetti tecnici più rilevanti dell'attacco riguarda il ruolo della localizzazione geografica. Il sistema sembrava usare la provenienza geografica dell'utente come segnale importante per decidere se concedere determinate operazioni. Se un attaccante si collega con una VPN dalla stessa area della vittima, supera questo controllo senza difficoltà. Il punto non è che usare segnali di rischio — posizione, dispositivo, comportamento — sia sbagliato in sé: è che trasformare un indicatore probabilistico in una chiave quasi automatica per operazioni irreversibili è pericoloso. La posizione è facile da simulare; la revoca di un account compromesso è molto più complicata.

La comunità di sicurezza ha inquadrato questo episodio in due categorie di rischio ben note per i sistemi basati su intelligenza artificiale: prompt injection ed excessive agency, ovvero l'eccesso di autonomia concessa a un agente automatico che può compiere azioni concrete. L'organizzazione OWASP, che produce guide di riferimento sulla sicurezza delle applicazioni, ha pubblicato un elenco dei dieci rischi principali per i sistemi basati su modelli linguistici proprio per tradurre casi reali come questo in indicazioni operative per chi progetta questi sistemi.

La difesa efficace non sta nelle istruzioni date all'AI, ma nei controlli costruiti intorno ad essa

Perché il danno è amplificato per certi account

Per un utente comune, perdere il controllo del proprio account Instagram è già un problema serio: significa non poter accedere ai propri contenuti, rischiare che vengano inviati messaggi truffaldini ai propri contatti, subire danni alla reputazione. Per account con molti follower o con nomi utente particolarmente brevi e memorabili, il danno economico può essere molto più alto. Questi identificativi hanno un valore di mercato reale: esistono mercati informali dove i nomi utente più ambiti vengono acquistati e rivenduti a cifre elevate. Alcuni account compromessi in questo tipo di attacchi sono stati usati per diffondere contenuti di propaganda. La notizia non sorprende chi conosce il settore: quando un nome utente vale quanto un dominio web pregiato, c'è un incentivo concreto a investire risorse nel tentativo di rubarlo.

C'è poi un paradosso che molti utenti già conoscono per esperienza diretta: quando il supporto è automatizzato, diventa difficile raggiungere un operatore umano proprio nei momenti in cui l'automazione fallisce o viene abusata. Aggiungere un canale d'attacco che passa attraverso il sistema di supporto aumenta la frustrazione di chi subisce un furto e si trova a dover chiedere aiuto allo stesso tipo di sistema che ha reso possibile il problema.

Cosa può fare chi usa Instagram

Le contromisure immediate restano quelle consigliate da anni, ma in questo contesto assumono un peso diverso. Attivare l'autenticazione a più fattori — spesso indicata come MFA o autenticazione a due fattori (2FA) — è il primo passo. Nel caso descritto, diverse ricostruzioni indicano che anche una forma base di 2FA avrebbe bloccato l'attacco, perché l'attaccante cercava di cambiare l'email di recupero senza dover superare una verifica aggiuntiva. Se il sistema richiede un codice generato da un'app di autenticazione o una conferma su un canale separato, molte di queste scorciatoie non funzionano più.

Vale anche la pena controllare periodicamente i dispositivi connessi al proprio account, le sessioni attive e i dati di recupero — email e numero di telefono — per assicurarsi che corrispondano a quelli effettivamente in uso. E trattare qualsiasi richiesta di «verifica account» o «supporto urgente», anche se sembra provenire da canali ufficiali, con la stessa cautela con cui si gestisce un messaggio sospetto dalla propria banca.

Il nodo che resta aperto per Meta e le altre piattaforme

Sul piano architetturale, la lezione più importante non riguarda i singoli utenti. Se un sistema automatico ha il potere di modificare elementi critici di un account, deve essere soggetto a vincoli almeno altrettanto severi di quelli imposti agli utenti stessi. Il principio del «minimo privilegio» — dare a ogni sistema solo i poteri strettamente necessari — non è uno slogan astratto: significa che un assistente AI dovrebbe poter raccogliere informazioni, spiegare procedure e preparare richieste, ma non eseguire modifiche irreversibili senza una verifica esplicita e indipendente dell'identità dell'utente. In altre parole: separare il «parlare» dal «fare».

La pressione su Meta arriva su più fronti. In Europa, la Commissione europea ha aperto procedimenti formali contro Facebook e Instagram nell'ambito del DSA, il regolamento europeo sui servizi digitali, e Meta è stata designata come gatekeeper — ovvero grande piattaforma con obblighi specifici — ai sensi del DMA. Queste norme non sono nate per gestire la prompt injection, ma spingono verso processi più trasparenti e verificabili, inclusa la valutazione dei rischi nei flussi automatizzati. Quando un'operazione sensibile viene affidata a un sistema AI, la domanda che i regolatori pongono è: quali controlli avete messo tra l'intelligenza artificiale e l'azione finale?

Nel 2025 Meta ha distribuito 4 milioni di dollari attraverso il suo programma di segnalazione delle vulnerabilità, superando i 25 milioni complessivi dall'avvio del programma. È un investimento significativo, che testimonia un approccio industriale alla sicurezza: migliaia di segnalazioni, valutazione continua, correzioni rapide. Ma i sistemi AI agentici — quelli che non si limitano a rispondere, ma compiono azioni — introducono una variabile nuova. Chiudere una vulnerabilità specifica è necessario; ripensare dove e come costruire i controlli è la sfida più difficile, e non si risolve con una patch.