Obama, Sephora e contas oficiais: falha em suporte automatizado da Meta expõe Instagram

Vídeos e registros mostram como um assistente de suporte permitiu invasores redefinirem e-mails e senhas — a empresa afirma ter corrigido a brecha

Gravações e prints compartilhados em redes e aplicativos de mensagens revelam um método simples e eficaz que entregou controle de perfis do Instagram a criminosos virtuais. Entre as vítimas estão nomes de alto perfil, perfis institucionais e marcas de luxo.

Como o ataque funcionava

Em demonstrações publicadas por pesquisadores e por atores do submundo digital, o atacante conversa com o assistente de suporte da plataforma e solicita a alteração do endereço de e-mail associado à conta alvo. O sistema, ao processar a solicitação, envia um código de verificação para o novo e-mail informado.

Com o código em mãos, o invasor o insere na conversa e recebe, embutido na interface, a opção direta para redefinir a senha. Em alguns casos, recursos de mascaramento de localização — como redes privadas virtuais — foram usados para driblar bloqueios regionais da plataforma.

Perfis afetados e mercado clandestino

Relatos apontam que perfis ligados ao governo norte-americano no período do ex-presidente Barack Obama, contas de marcas como a Sephora e perfis de integrantes das forças armadas foram atingidos. Nomes vazados aparecem em canais privados onde credenciais e acessos são comprados e vendidos.

O volume total de contas comprometidas não foi divulgado oficialmente, mas a circulação de capturas e ofertas nas plataformas de mensagens indica que o alcance do problema foi superior a incidentes pontuais.

Reação da Meta

A dona das redes afetadas confirmou que investigou a ocorrência e aplicou correções ao sistema de suporte. Em comunicado à imprensa internacional, a empresa disse estar protegendo as contas envolvidas e que tomou medidas para mitigar o vetor explorado.

O assistente automatizado em questão começou a ser disponibilizado globalmente no início do ano. Internamente, havia expectativa de que algumas ações fossem ativadas primeiro em uma das plataformas e, posteriormente, em outras — um cenário que acabou ampliando o impacto quando a funcionalidade se mostrou mais permissiva do que previsto.

Imagem: Divulgação

Por que o caso preocupa

A facilidade demonstrada nos vídeos acende um alerta sobre o uso de automação para tarefas sensíveis, como recuperação de credenciais. Ferramentas que automatizam processos de suporte, quando configuradas com regras insuficientes, podem virar portas de entrada para sequestro de contas.

Além do prejuízo direto às vítimas, invasões de perfis oficiais e de influenciadores ampliam o risco de campanhas de desinformação, golpes e danos à reputação de instituições e marcas.

Contexto mais amplo

O incidente ocorre em meio a uma grande reestruturação na empresa, que tem reconstruído times e integrado recursos automatizados às suas plataformas. Investimentos massivos em infraestrutura e modelos de resposta automática marcam a agenda da companhia para os próximos anos.

Especialistas em segurança que expuseram a falha afirmam que a publicação do método foi decisiva para forçar uma correção rápida, mas também serviu como prova de conceito para imitadores e oportunistas.

Fechamento

O episódio deixou claro que funções de suporte automatizado exigem camadas extras de verificação antes de permitir mudanças críticas em contas. Enquanto a plataforma trabalha para reforçar defesas, a divulgação pública do método segue repercutindo entre pesquisadores, operadores de redes e usuários preocupados com a segurança digital.