Instagram: maxi violazione dati svela informazioni personali di 17,5 milioni di utenti, rischio privacy alle stelle

Indice dei Contenuti:

Dettagli della violazione dei dati

Malwarebytes ha segnalato l’esposizione di dati “sensibili” riguardanti circa 17,5 milioni di utenti di Instagram, individuata durante una scansione di routine del dark web. Le informazioni trafugate includono username, indirizzi fisici, numeri di telefono, email e altri dettagli associati agli account.

Secondo l’azienda di sicurezza, i dataset risultano in vendita sui marketplace clandestini e sarebbero collegati a una potenziale esposizione dell’API di Instagram riconducibile al 2024. Il tracciamento indica che il dump è strutturato per essere sfruttato rapidamente in campagne criminali a larga scala.

L’incidente si riflette in un’ondata di email di richiesta di reset della password ricevute da numerosi utenti, segnale tipico di attività automatizzate basate su dati sottratti. Al momento, Meta non ha rilasciato una dichiarazione ufficiale sull’episodio, ma la società è già stata oggetto in passato di scrutinio per problemi affini.

Malwarebytes sottolinea che l’insieme dei campi esposti consente correlazioni tra identità digitale e contatti reali, aumentando la commerciabilità del pacchetto e la sua attrattività per attori malevoli orientati a compromissioni mirate.

Rischi e possibili conseguenze per gli utenti

La combinazione di username, email, numeri di telefono e indirizzi fisici abilita campagne di phishing altamente persuasive, con messaggi che imitano procedure ufficiali di Instagram o di Meta. Gli aggressori possono orchestrare reset fraudolenti delle credenziali e spingere gli utenti verso pagine di login falsificate per carpire password.

I dati esposti alimentano tentativi di account takeover su larga scala, specialmente se le vittime riutilizzano le stesse password su più servizi. La disponibilità del dump nel dark web consente attacchi di credential stuffing e SIM swapping, con potenziale blocco degli accessi e modifica dei fattori di recupero.

L’associazione tra identità digitale e recapiti reali eleva anche il rischio di social engineering mirato, truffe telefoniche e stalking, oltre a potenziali frodi pubblicitarie su profili con ampia platea. Una volta consolidato il controllo, i criminali possono diffondere malware via DM, monetizzare tramite affiliazioni o estorcere denaro minacciando la cancellazione dei contenuti.

Misure immediate di sicurezza consigliate

Attiva subito la autenticazione a due fattori su Instagram e preferisci un’app di generazione codici rispetto agli SMS; aggiorna la password con una chiave lunga e unica, evitando riutilizzi tra servizi. Verifica nella Meta Accounts Center i dispositivi e le sessioni attive, disconnettendo quelli sospetti.

Controlla l’email di recupero e il numero di telefono associati all’account, rimuovi recapiti non riconosciuti e aggiorna le domande di sicurezza dove presenti. Diffida da messaggi che sollecitano reset credenziali o richieste urgenti: non cliccare link ricevuti via DM, SMS o email, ma accedi direttamente dall’app o dal sito ufficiale.

Imposta avvisi di accesso e notifiche di sicurezza, abilita l’approvazione login e revisiona le autorizzazioni concesse ad app di terze parti, revocando quelle inutili. Monitora eventuali email di “reset password” non richieste e segnala attività anomale a Instagram; valuta un password manager e contempla il cambio delle credenziali anche su servizi dove potresti aver riutilizzato la stessa password.

Per chi gestisce profili ad alta visibilità: limita i contatti pubblici, centralizza i ruoli tramite Business Manager, applica 2FA obbligatoria ai collaboratori e definisci procedure interne per il riconoscimento di tentativi di phishing.

FAQ

• Quanti account sono coinvolti? Circa 17,5 milioni di profili risultano potenzialmente esposti.
• Quali dati sarebbero stati compromessi? Username, email, numeri di telefono, indirizzi fisici e dettagli correlati agli account.
• Qual è il rischio immediato? Phishing mirato, tentativi di takeover e campagne di credential stuffing.
• Come proteggere subito l’account? Abilita 2FA, cambia password, rivedi sessioni attive e revoca app sospette.
• Come riconoscere email fraudolente? Diffida di urgenze, errori grammaticali, domini anomali e link accorciati; accedi solo da canali ufficiali.
• La violazione è confermata da una fonte? Sì, è stata segnalata da Malwarebytes, come riportato nella comunicazione dell’azienda.
• Cosa fare se noto attività sospette? Reimposta password, forza il logout da tutti i dispositivi, attiva 2FA e segnala a Instagram tramite il Centro assistenza.