Una massiccia fuga di dati ha esposto le informazioni personali di circa 17,5 milioni di utenti Instagram, con dettagli sensibili che ora circolano attivamente sui mercati del dark web. La società di sicurezza informatica Malwarebytes ha scoperto la fuga il 9 gennaio 2026, durante il monitoraggio di routine del dark web, quando i ricercatori hanno trovato un post su BreachForums da un attore di minacce che operava sotto l'alias Solonik.
I dati compromessi includono nomi utente, indirizzi email verificati, numeri di telefono, indirizzi fisici e informazioni parziali sulla posizione. L'attore di minacce, noto anche come Subkek, afferma che le informazioni sono state raccolte verso la fine del 2024 utilizzando API pubbliche e fonti specifiche per regione. L'annuncio era intitolato Instagram 17M Global Users 2024 API Leak, con dati formattati in file JSON e TXT disponibili per l'acquisto.
Sebbene le password non sembrino far parte del dump in testo chiaro, gli esperti di sicurezza avvertono che la combinazione di dettagli di contatto e dati di localizzazione reale crea quella che descrivono come una miniera d'oro per i criminali informatici. Le informazioni esposte sono sufficienti per sofisticate campagne di phishing, furto di identità e attacchi di ingegneria sociale rivolti a milioni di utenti in tutto il mondo.
Dopo l'apparizione della fuga online, diversi utenti Instagram hanno riferito di aver ricevuto notifiche di reimpostazione password non richieste ma legittime dalla piattaforma. I ricercatori di sicurezza indicano che questa è la prova che gli attori malintenzionati stanno già utilizzando i nomi utente e le email trapelate per tentare il dirottamento degli account. La combinazione di email e numeri di telefono consente anche pericolosi attacchi di SIM-swapping che possono aggirare l'autenticazione a due fattori.
Meta, la società madre di Instagram, ha rilasciato una dichiarazione l'11 gennaio chiarendo la situazione. La società ha dichiarato di aver risolto un problema che permetteva a una parte esterna di richiedere email di reimpostazione password per alcuni utenti. Meta ha sottolineato che non si è verificata alcuna violazione della sicurezza dei loro sistemi e che gli account Instagram rimangono sicuri, attribuendo l'incidente allo scraping di dati piuttosto che a un hack diretto.
Gli esperti di sicurezza informatica stanno esortando tutti gli utenti Instagram a prendere misure protettive immediate. Le raccomandazioni includono l'abilitazione dell'autenticazione a due fattori utilizzando app di autenticazione piuttosto che la verifica basata su SMS, che è più resistente agli attacchi di SIM-swapping. Gli utenti dovrebbero anche cambiare le loro password in combinazioni uniche e complesse e monitorare i loro account per eventuali tentativi di accesso non autorizzati.
Gli utenti preoccupati se le loro informazioni siano state compromesse possono verificare sul sito Have I Been Pwned inserendo il loro indirizzo email o numero di telefono. I professionisti della sicurezza consigliano di ignorare qualsiasi email di reimpostazione password non richiesta e di rivedere tutte le app di terze parti e i servizi collegati agli account Instagram. L'incidente evidenzia le vulnerabilità persistenti nelle piattaforme di social media e l'importanza di misure di sicurezza proattive.
Commenti