Qualche giorno fa Malwarebytes, la nota società specializzata in cybersecurity, ha lanciato l’allarme secondo cui sarebbe stata individuata sul dark web una raccolta di dati personali riconducibili a circa 17,5 milioni di profili Instagram. La scoperta è avvenuta durante una scansione di routine e riguarda file in formato JSON e TXT pubblicati su BreachForums, una piattaforma utilizzata per la condivisione di informazioni trafugate. A pubblicare il materiale sarebbe stato un utente noto con il nome “Solonik”. Ma Meta nega la fuga di dati e conferma di non aver rilevato attività sospette.

La possibile ricostruzione dell’accaduto

I file individuati nel dark web conterrebbero diversi dati sensibili, tra cui nomi utente di Instagram, nomi completi, indirizzi e-mail, numeri di telefono, indirizzi fisici parziali e ID utente. Le password non risulterebbero coinvolte nella fuga, ma la quantità e il dettaglio delle informazioni oggetto della fuga di dati sarebbero comunque sufficienti per permettere attacchi mirati. Gli esperti parlano di rischi concreti legati al phishing, al furto d’identità e al possibile utilizzo illecito del sistema di recupero password di Instagram.

A distanza di qualche giorno dalla segnalazione, è arrivata la smentita da parte di Instagram. Un portavoce dell’azienda ha dichiarato che non c’è stata alcuna violazione dei propri sistemi e che non sono state rilevate attività sospette riconducibili a una violazione dei dati (data breach) interna.

La comunicazione arriva in un momento in cui molti utenti avevano già segnalato un aumento anomalo delle richieste di reset della password, fatto che aveva rafforzato i sospetti sull’esistenza di una fuga di dati. Instagram riconosce questi tentativi come reali, ma li attribuisce a campagne di phishing esterne e non a una compromissione diretta della propria infrastruttura. Questa posizione alimenta l’ipotesi che i dati circolanti possano provenire da fonti terze, come precedenti attacchi, scraping o raccolte illecite aggregate nel tempo.

Secondo Malwarebytes, è possibile che l’origine della banca dati sia collegata a una vecchia esposizione delle API di Instagram risalente al 2024, ma al momento questa ricostruzione non trova conferme ufficiali. La mancanza di prove tecniche solide, unita alla smentita da parte di Meta, rende la vicenda ancora poco chiara.

Nel dubbio, gli esperti di cybersecurity invitano comunque gli utenti a non abbassare la guardia. Abilitare l’autenticazione a due fattori, aggiornare le proprie credenziali con password complesse e ignorare e-mail o SMS sospetti rimangono i principali comportamenti da adottare per la protezione del proprio account. Anche in assenza di conferme ufficiali, i dati esposti potrebbero essere utilizzati per truffe credibili e personalizzate, sfruttando la fiducia che molti utenti ripongono nelle comunicazioni apparentemente ufficiali delle piattaforme social. Quindi conviene sempre mantenere alta l’attenzione.