Instagram a déclaré qu'il n'avait pas été victime d'une violation de données, bien que certains utilisateurs aient reçu des demandes de réinitialisation de mot de passe qui ont suscité des inquiétudes. Cette déclaration fait suite à une publication sur Bluesky de la société de logiciels antivirus Malwarebytes, qui comprenait une capture d'écran d'un e-mail d'Instagram informant un utilisateur d'une demande de réinitialisation de mot de passe.

Malwarebytes a affirmé dans sa publication de vendredi que des cybercriminels avaient volé des informations sensibles à partir de 17,5 millions de comptes Instagram, notamment des noms d'utilisateur, des adresses physiques, des numéros de téléphone et des adresses e-mail. La société a en outre allégué que ces données étaient disponibles à la vente sur le dark web et pourraient être exploitées par des cybercriminels.

En réponse, Instagram a publié sur X qu'il avait résolu un problème qui permettait à une partie externe de demander des e-mails de réinitialisation de mot de passe pour certains utilisateurs. La société n'a pas divulgué de détails sur la partie externe impliquée ni sur la nature spécifique du problème. La publication d'Instagram s'est terminée par des excuses pour toute confusion et conseillait aux utilisateurs d'ignorer les e-mails suspects.

La divergence entre l'affirmation de Malwarebytes concernant un vol de données et le démenti d'Instagram concernant une violation met en évidence les défis liés à l'évaluation et à la communication des incidents de cybersécurité. Une demande de réinitialisation de mot de passe, bien que potentiellement révélatrice d'une activité malveillante, ne confirme pas automatiquement une violation de données. Les cybercriminels tentent souvent d'obtenir un accès non autorisé aux comptes par diverses méthodes, notamment le phishing, le credential stuffing (utilisation de combinaisons nom d'utilisateur/mot de passe connues provenant d'autres violations) et l'exploitation de vulnérabilités dans les logiciels.

Le manque de détails spécifiques de la part d'Instagram concernant la "partie externe" et le "problème" soulève des questions sur la portée et l'impact potentiel de l'incident. Sans plus d'informations, il est difficile d'évaluer le niveau de risque pour les utilisateurs d'Instagram.

La décision d'Instagram de traiter le problème sur X, plutôt que sur sa propre plateforme ou sur Threads, a également attiré l'attention. Ce choix peut refléter une stratégie visant à toucher rapidement un public plus large, mais il soulève également des questions sur les priorités de communication de l'entreprise lors d'un incident de sécurité potentiel.

Il est conseillé aux utilisateurs qui ont reçu des demandes de réinitialisation de mot de passe inattendues d'activer l'authentification à deux facteurs sur leurs comptes Instagram et de se méfier des tentatives de phishing. L'authentification à deux facteurs ajoute une couche de sécurité supplémentaire en exigeant un code de vérification provenant de l'appareil d'un utilisateur en plus de son mot de passe.

Instagram n'a pas encore annoncé d'autres mesures pour enquêter sur l'incident ou pour empêcher que des événements similaires ne se reproduisent à l'avenir. La réponse de l'entreprise à cet incident sera probablement examinée de près par les experts en cybersécurité et les utilisateurs.