ハッカーが Meta AI のカスタマーサポートの脆弱性を悪用し、オバマ氏とホワイトハウスのInstagramアカウントを乗っ取った

《404 Media》による6月1日の報道によると、Metaは、ハッカーが同社のAIカスタマーサポート用チャットボットのセキュリティ上の脆弱性を悪用し、複数の著名なInstagramアカウントを乗っ取ることに成功したことを確認した。被害を受けたアカウントには、米国の元大統領オバマのホワイトハウス在任時期の公式アカウント、著名なメイクアップブランドのシーブラ（Sephora）、および米空軍の統合の司令部総司令長官の公式アカウントが含まれる。

攻撃チェーンの完全手順：AIカスタマーサポートはどうやって突破されたのか

《404 Media》が引用したハッカーコミュニティとセキュリティ研究者がTelegram上で共有した動画によれば、今回の攻撃プロセスはすでに確認済みだ。

位置の偽装：攻撃者はVPNを使用し、通信先の位置情報を目標アカウントと同じ国・地域に偽装する

依頼の送信：Meta AIカスタマーサポート用チャットボットに対話を送り、目標アカウントを攻撃者が提示した新しい電子メールアドレスに紐づけるよう要求する

認証コードの受領：Meta AIカスタマーサポート用チャットボットが、攻撃者が提示した新しいメール宛てに8桁の認証コードを送信する

乗っ取りの完了：攻撃者がチャット画面で認証コードを入力し、パスワードリセットの権限を取得して、目標IGアカウントを完全に掌握する

Metaの公式説明によると、アカウントのメールが変更された場合、システムは元のメールアドレス宛てに特殊な復旧リンクを含む通知を送るはずだが、Meta AIカスタマーサポート用チャットボットの脆弱性により、この仕組みが正しく作動しなかったという。

Meta公式の回答：脆弱性は修復済み、影響を受けたアカウント数は未公表

Metaは、今回のサイバー攻撃が事実であることを確認し、脆弱性は修復済みであり、影響を受けたアカウントの防御強化について協力しているとした。影響を受けたアカウントの総数については、報道時点では未公表。

Meta AIカスタマーサポートのアシスタントは2026年初めに提供を開始し、ユーザーがパスワードのリセットやアカウントの安全な復旧などの重要な依頼を処理するのを支援できるとされていた。公開から数か月後に、今回の攻撃が発生した。

人員削減の背景：2026年5月20日に8,000人の削減を発表

Mark Zuckerbergは2026年5月20日に、全世界の従業員へ人員削減の通知を行い、約8,000名の社員（全従業員数の10%）を削減した。狙いは運営コストを引き下げ、最大1,250億〜1,450億ドルのAI資本支出に備えること、ならびにマネジメントのフラット化を進めることにある。

《Wired》の報道によれば、Metaは2026年の第1四半期に約270億ドルの利益記録を達成したが、社内の従業員の士気は底まで落ち込んだ。黄文津は、アカウントが攻撃されたことを確認した後に公開投稿で次のように述べた。「Metaが信頼と安全（T&S）チームを削り、アカウント支援サービスを騙されやすいAIボットの自動化処理に任せたことを祝福します。」Meta側は、人員削減でT&Sの人数規模や資安能力にどのような影響が出るのかについて、公式な説明をしていない。

よくある質問

Meta AIカスタマーサポート用ボットの核心的な問題は何ですか？

404 Mediaの報道によれば、Meta AIカスタマーサポート用ボットは、アカウントのメール変更リクエストを受け取ると、認証コードを攻撃者が提示した新しいメール宛てに送信し、元のメール宛てに通知や復旧リンクを強制的に送るセキュリティ機構を発動しなかった。通常の手順ではメール変更は元のメール宛てに通知されるはずだが、AIカスタマーサポートの実装がこの検証をすり抜けてしまったという。

どの著名アカウントが影響を受けたことが確認され、Metaは影響総数を公表しましたか？

影響を受けたことが確認された著名アカウントには、米国の元大統領オバマのホワイトハウス在任時期の公式Instagramアカウント、美容ブランドのシーブラ（Sephora）、および米空軍の統合の司令部総司令長官の公式アカウントが含まれる。Metaは攻撃が事実であることを確認したが、報道時点では影響を受けたアカウントの総数は公表されていない。

Metaの人員削減計画と今回のサイバーセキュリティ事件には、どんな直接的な関係がありますか？

元Meta社員の黄文津（Jane Manchun Wong）は、T&Sチームが削減された後、アカウント支援がAIボットで処理されるようになり、今回の攻撃が成功する背景要因の一つだと明確に指摘した。Meta側は、T&S人員を削減する具体的な規模、ならびにそれが全体の資安防御能力に与える影響について、公式な説明をしていない。