Compromission de comptes Instagram via l'outil « High Touch Support » de Meta (2026)

Le 8 juin 2026, Meta Platforms — l'exploitant d'Instagram — a révélé que des attaquants avaient détourné 20 225 comptes Instagram en abusant d'une faille dans High Touch Support (HTS), un outil de récupération de compte assisté par IA destiné à aider les utilisateurs bloqués à retrouver l'accès. Dans une déclaration au procureur général du Maine, Meta a indiqué que l'abus était passé inaperçu pendant environ six semaines avant d'être détecté.

Ce qui s'est passé

HTS est conçu pour guider les utilisateurs dans la récupération de leur compte lorsqu'ils ne peuvent plus se connecter. La vulnérabilité résidait dans une vérification manquante : l'outil ne confirmait pas correctement que l'adresse e-mail saisie lors de la récupération correspondait bien à celle déjà associée au compte Instagram ciblé. Un attaquant pouvait donc demander une réinitialisation de mot de passe pour le compte d'autrui et recevoir le lien de réinitialisation dans une boîte de réception qu'il contrôlait.

Comme la procédure de réinitialisation passait par le flux d'assistance, les attaquants pouvaient prendre le contrôle de comptes même lorsque la victime avait activé l'authentification à deux facteurs, contournant ainsi une protection que l'on conseille sans cesse aux utilisateurs. Selon Meta, l'abus a commencé vers le 17 avril 2026 et n'a été découvert que le 31 mai 2026 ; l'entreprise a alors mis l'outil hors ligne et invalidé tous les liens de réinitialisation générés par HTS.

Impact

• 20 225 comptes Instagram ont été détournés via la faille de l'outil de récupération.
• La fenêtre d'abus s'est étendue sur environ sept semaines (de la mi-avril au début juin) avant détection.
• Parmi les cibles notables rapportées figuraient un compte dormant de l'ère Obama à la Maison-Blanche et le compte d'un sous-officier supérieur de la Space Force américaine.
• Meta prévoit de notifier les utilisateurs concernés à partir du 19 juin 2026 et de les inviter à vérifier leurs paramètres de sécurité et à activer l'authentification à deux facteurs.

Aucun groupe d'attaquants en particulier n'a été publiquement désigné comme responsable.

Pourquoi c'est important

Cette compromission illustre le risque que représentent les outils d'assistance et de récupération de compte en tant que surface d'attaque — et, de plus en plus, les flux d'assistance assistés par IA qui automatisent des décisions qu'un examinateur humain aurait pu intercepter. Le détail le plus marquant est qu'une faille dans le parcours de récupération a neutralisé l'authentification à deux facteurs des comptes concernés : la protection que l'on conseille de privilégier n'a servi à rien, car le détournement n'est jamais passé par la connexion classique.