Instagram nega il data breach: la presunta fuga di dati da 17 milioni di profili è stata smentita

Instagram ha smentito l'esistenza di una nuova violazione dei propri sistemi dopo la diffusione online di un presunto database contenente dati di oltre 17 milioni di account. Secondo Meta, la società madre della piattaforma, non si è verificato alcun data breach recente e gli account degli utenti restano sicuri.

L'attenzione mediatica è esplosa dopo che Malwarebytes ha avvisato i propri clienti della possibile esposizione di dati relativi a circa 17,5 milioni di profili Instagram. Il dataset è stato pubblicato gratuitamente su diversi forum di hacking, con l'autore del post che ha sostenuto che le informazioni provenissero da una presunta fuga di dati legata alle API di Instagram nel 2024, mai confermata ufficialmente.

Meta ha chiarito di aver recentemente corretto un bug che permetteva a soggetti esterni di inviare richieste massive di email per il reset della password. Tuttavia, l'azienda ha precisato che questo problema non ha comportato l'accesso ai sistemi interni né la compromissione degli account. Gli utenti che hanno ricevuto email di reset non richieste possono semplicemente ignorarle, secondo quanto indicato dal portavoce di Meta.

Cosa includerebbe il database di Instagram diffuso?

Il database diffuso online conterrebbe 17.017.213 profili e includerebbe, in modo variabile, nomi utente, nomi reali, indirizzi email, numeri di telefono, indirizzi fisici e ID Instagram. Non tutti i record contengono l'intero set di informazioni: alcuni includono solo ID e username. In particolare, i dati email sarebbero presenti per poco più di 6 milioni di account, mentre i numeri di telefono per circa 3,5 milioni.

Alcuni ricercatori di cybersicurezza hanno ipotizzato che i dati provengano in realtà da un episodio di scraping delle API risalente al 2022, ma non hanno fornito prove concrete a supporto di questa tesi. Meta, dal canto suo, ha dichiarato di non essere a conoscenza di incidenti che hanno coinvolto le API né nel 2022 né nel 2024. Instagram, tuttavia, in passato ha già subito casi simili: nel 2017 un bug consentì di raccogliere e vendere informazioni personali di circa 6 milioni di utenti.

Alla luce delle informazioni disponibili, non ci sono elementi che indichino una nuova violazione recente. È più probabile che il dataset sia una raccolta di dati ottenuti nel corso di diversi anni, aggregando informazioni provenienti da precedenti attività di scraping.