Instagram declaró que no había sufrido una filtración de datos, a pesar de que algunos usuarios recibieron solicitudes de restablecimiento de contraseña que generaron preocupación. La declaración se produjo después de una publicación en Bluesky de la empresa de software antivirus Malwarebytes, que incluía una captura de pantalla de un correo electrónico de Instagram que notificaba a un usuario una solicitud de restablecimiento de contraseña.

Malwarebytes afirmó que los ciberdelincuentes habían robado información confidencial de 17,5 millones de cuentas de Instagram, incluidos nombres de usuario, direcciones físicas, números de teléfono y direcciones de correo electrónico. La compañía alegó además que estos datos se estaban vendiendo en la dark web y podrían ser explotados por los ciberdelincuentes.

En respuesta, Instagram publicó en X que había resuelto un problema que permitía a un tercero solicitar correos electrónicos de restablecimiento de contraseña para algunos usuarios. La compañía no reveló detalles sobre el tercero ni la naturaleza específica del problema. La publicación de Instagram concluyó aconsejando a los usuarios que ignoraran los correos electrónicos y se disculpó por cualquier confusión.

El incidente destaca la amenaza persistente del credential stuffing, un tipo de ciberataque en el que los atacantes utilizan listas de nombres de usuario y contraseñas obtenidas de filtraciones anteriores para intentar obtener acceso a cuentas de usuario en otras plataformas. Si bien Instagram sostiene que no se produjo ninguna filtración de datos, la capacidad de un tercero para activar correos electrónicos de restablecimiento de contraseña plantea interrogantes sobre los protocolos de seguridad de la plataforma y el potencial de que actores maliciosos ataquen a los usuarios.

Los mecanismos de restablecimiento de contraseña son un componente crítico de la seguridad de la cuenta, diseñados para permitir a los usuarios recuperar el acceso a sus cuentas si olvidan sus contraseñas. Sin embargo, si estos mecanismos no están debidamente protegidos, pueden ser explotados por los atacantes para obtener acceso no autorizado a las cuentas.

La respuesta de Instagram al incidente ha sido criticada por algunos expertos en seguridad por su falta de transparencia. La falta de detalles por parte de la compañía sobre el problema o el tercero involucrado ha alimentado la especulación y la incertidumbre entre los usuarios.

La compañía aún no ha anunciado ninguna medida específica que esté tomando para evitar que incidentes similares ocurran en el futuro. Se aconseja a los usuarios que habiliten la autenticación de dos factores en sus cuentas de Instagram y que tengan cuidado con cualquier correo electrónico o mensaje sospechoso.