Celah Alat Dukungan AI Meta dan Risiko Pembajakan Akun Instagram

Meta menyatakan hingga 20.225 akun Instagram berpotensi dibajak setelah penyerang menyalahgunakan alat pemulihan akun berbantuan AI bernama High Touch Support. Menurut laporan pada 8 Juni 2026, sebuah bug membuat tautan reset kata sandi terkirim ke email yang tidak terkait dengan akun sasaran, dan hanya akun tanpa autentikasi dua faktor yang dapat diambil alih.

Apa yang Terjadi

Berdasarkan laporan BleepingComputer, High Touch Support (HTS) adalah sistem berbantuan AI yang membantu pengguna Instagram yang terkunci agar dapat masuk kembali ke akunnya. Penyerang memanfaatkannya untuk meminta tautan reset kata sandi bagi akun yang bukan milik mereka. Menurut Meta, alat itu sendiri berfungsi sebagaimana dirancang, tetapi ada bug pada jalur kode terpisah yang melewatkan pemeriksaan kecocokan email. Akibatnya, ketika penyerang memasukkan alamat email yang tidak terkait dengan akun, tautan reset justru dikirim ke alamat tersebut, bukan ditolak.

Poin penting bagi Anda: ini bukan kasus kata sandi yang bocor atau ditebak. Ini kegagalan otorisasi pada alur pemulihan, yaitu sistem tidak memastikan bahwa orang yang meminta reset memang berhak atas akun itu.

Kronologi

• 17 April 2026: tanggal pelanggaran yang tercantum dalam pemberitahuan kepada Jaksa Agung Negara Bagian Maine, kemungkinan awal eksploitasi. Meta tidak menyatakan kapan serangan dimulai secara pasti.
• 31 Mei 2026: Meta menemukan kerentanan tersebut.
• Setelah penemuan: Meta menonaktifkan HTS, membatalkan semua tautan reset yang pernah dibuatnya, dan menempatkan akun yang berpotensi terdampak ke pemeriksaan keamanan wajib. Meta menyatakan alat itu baru akan diaktifkan kembali setelah pemeriksaan autentikasinya diperbaiki.
• 8 Juni 2026: BleepingComputer dan SecurityWeek memberitakan pemberitahuan Meta yang menyebut total 20.225 orang berpotensi terdampak.

Dampak: Angka yang Terverifikasi

Dalam pemberitahuannya kepada Jaksa Agung Maine, Meta menyebut total 20.225 orang berpotensi terdampak, 30 di antaranya pengguna di negara bagian itu. Menurut SecurityWeek, angka tersebut menghitung pengguna yang kata sandinya direset lewat HTS, tidak memakai 2FA, dan akunnya kemungkinan diakses pelaku; Meta menyebut jumlah sebenarnya bisa lebih kecil karena sebagian akun mungkin diakses oleh pemiliknya sendiri. Artinya, 20.225 adalah batas atas, bukan jumlah pembajakan yang sudah dipastikan satu per satu. Pada laporan tersebut, penyerang hanya bisa masuk setelah reset apabila akun tidak mengaktifkan autentikasi dua faktor. Meta menyatakan tidak memiliki informasi tentang data apa yang benar-benar diakses; secara teori, akun yang terambil alih dapat memperlihatkan informasi kontak, tanggal lahir, kiriman dan story, pesan langsung, riwayat aktivitas, serta layanan yang tertaut. Angka tersebut bersifat global; Meta tidak merinci jumlah korban per negara dalam laporan yang kami rujuk.

Pelajaran: Fitur AI Mewarisi Bug Otorisasi Klasik

Insiden ini menunjukkan bahwa menambahkan AI ke dalam alur kerja tidak menghapus masalah keamanan lama. Beberapa pelajaran yang berlaku untuk tim produk dan keamanan:

• Pemulihan akun adalah jalur paling sensitif. Penyerang sering memilih jalur ini karena melewati kata sandi dan sering memiliki pemeriksaan yang lebih longgar. Pemulihan harus seketat login.
• Verifikasi kepemilikan di sisi server. Setiap tautan atau kode pemulihan harus dikirim hanya ke kanal yang sudah terdaftar pada akun, dan pemeriksaan ini tidak boleh bergantung pada jalur kode tertentu.
• Alat berbantuan AI tetap tunduk pada kontrol akses. Asisten atau agen yang dapat memicu tindakan sensitif harus memakai pemeriksaan otorisasi yang sama dengan antarmuka manusia, bukan kebijakan yang lebih longgar.
• Uji semua jalur kode. Bug ini ada pada jalur terpisah. Pengujian keamanan perlu mencakup jalur alternatif, bukan hanya jalur utama.
• Siapkan kemampuan mematikan fitur dengan cepat. Kemampuan Meta menonaktifkan HTS dan membatalkan semua tautan yang terbit menunjukkan nilai tombol darurat.

Bahasan serupa tentang agen AI yang bocor lewat izin berlebih dapat Anda baca di ForcedLeak dan kebocoran data lewat AI agent perusahaan.

Bagaimana Alur Pemulihan Akun yang Aman Dirancang

Alur pemulihan yang sehat biasanya berpegang pada beberapa prinsip. Pertama, kanal pemulihan hanya berasal dari data yang sudah tertaut pada akun sebelum insiden, bukan dari data yang diberikan pemohon saat itu. Kedua, permintaan pemulihan dibatasi lajunya dan dicatat, sehingga lonjakan permintaan dari satu sumber mudah dikenali. Ketiga, pemilik akun diberi tahu lewat kanal yang sudah terdaftar setiap kali ada permintaan reset, sehingga pemilik sah bisa menyadari ada yang mencoba masuk. Keempat, tindakan berisiko tinggi seperti mengganti email atau menonaktifkan 2FA memerlukan verifikasi tambahan.

Bagi tim yang membangun fitur pemulihan atau layanan pelanggan berbantuan AI, uji kasus penyalahgunaan secara eksplisit: apa yang terjadi bila seseorang memasukkan alamat email orang lain, atau meminta bantuan atas nama akun yang bukan miliknya. Pengujian semacam ini hanya boleh dilakukan pada sistem milik Anda sendiri atau dengan izin tertulis dari pemiliknya; akses ilegal ke sistem orang lain dapat dipidana berdasarkan Pasal 332 KUHP yang berlaku sejak 2 Januari 2026.

Cara Melindungi Akun Instagram Anda

Satu kontrol terbukti memutus serangan ini: autentikasi dua faktor. Lakukan langkah berikut sekarang.

1. Aktifkan 2FA di Instagram melalui menu Pusat Akun (Accounts Center). Pilih aplikasi autentikator atau kunci keamanan bila tersedia, bukan hanya SMS. Panduan umumnya ada di autentikasi dua faktor (2FA).
2. Periksa email dan nomor pemulihan. Pastikan keduanya milik Anda dan akun email itu sendiri dilindungi 2FA, karena email adalah kunci pemulihan.
3. Tinjau perangkat dan sesi aktif serta keluarkan yang tidak Anda kenali.
4. Waspadai pesan resmi palsu. Penyerang sering menyusul dengan phishing yang mengaku dari Meta setelah insiden besar. Buka pengaturan langsung dari aplikasi, bukan dari tautan di pesan.
5. Jika Anda menerima pemberitahuan dari Meta, ikuti proses pemeriksaan keamanan di dalam aplikasi dan atur ulang kata sandi.

Untuk panduan lebih luas, lihat cara mengamankan akun media sosial dari peretasan.

Pertanyaan yang Sering Diajukan

Apakah akun saya termasuk dalam 20.225 akun itu?

Meta menyatakan akun terdampak ditempatkan pada pemeriksaan keamanan wajib, pengguna diminta mengatur ulang kata sandi, dan pemberitahuan akan dikirim kepada pengguna terdampak. Jika Anda tidak menerima pemberitahuan tersebut, tetap aktifkan 2FA dan periksa aktivitas login.

Apakah 2FA benar-benar melindungi dari serangan ini?

Menurut laporan BleepingComputer, penyerang hanya dapat masuk setelah reset pada akun yang tidak memakai 2FA. Karena itu, 2FA adalah pelindung yang paling jelas dalam kasus ini.

Apa yang harus dilakukan bila akun sudah dibajak?

Gunakan jalur pemulihan resmi di aplikasi, laporkan ke Instagram, ubah kata sandi akun email terkait, dan beri tahu kontak Anda agar tidak mengikuti tautan atau permintaan uang dari akun tersebut.

Kesimpulan

Pembajakan hingga 20.225 akun Instagram ini mengingatkan bahwa fitur AI yang ditempatkan di jalur pemulihan akun harus melewati kontrol otorisasi yang sama ketatnya dengan login. Bagi pengguna, tindakan paling efektif adalah mengaktifkan 2FA hari ini. Jika organisasi Anda ingin menguji alur pemulihan dan fitur berbantuan AI sebelum penyerang melakukannya, Linuxhackingid menyediakan layanan penilaian keamanan dan penetration testing untuk organisasi.