Instagram a déclaré qu'il n'y avait eu aucune violation de ses systèmes, malgré le fait que certains utilisateurs aient reçu des demandes de réinitialisation de mot de passe qui ont suscité des inquiétudes. Cette déclaration fait suite à une publication sur Bluesky de Malwarebytes, une société de logiciels antivirus, qui a partagé une capture d'écran d'un e-mail d'Instagram informant un utilisateur d'une demande de réinitialisation de mot de passe. Malwarebytes a affirmé que des cybercriminels avaient volé des informations sensibles à partir de 17,5 millions de comptes Instagram, notamment des noms d'utilisateur, des adresses physiques, des numéros de téléphone et des adresses e-mail, et que ces données étaient vendues sur le dark web.

Instagram a ensuite publié sur X qu'il avait résolu un problème qui permettait à une partie externe de demander des e-mails de réinitialisation de mot de passe pour certains utilisateurs. L'entreprise n'a pas divulgué de détails sur la partie externe ni sur la nature spécifique du problème. "Vous pouvez ignorer ces e-mails, désolé pour la confusion", concluait le message.

Les récits contradictoires mettent en évidence les défis auxquels sont confrontées les plateformes de médias sociaux pour protéger les données des utilisateurs et maintenir la transparence. Les demandes de réinitialisation de mot de passe, bien qu'étant une fonctionnalité de sécurité courante, peuvent être exploitées par des acteurs malveillants pour obtenir un accès non autorisé aux comptes. Les cybercriminels utilisent souvent des techniques telles que le phishing pour inciter les utilisateurs à révéler leurs mots de passe ou d'autres informations sensibles.

La publication initiale de Malwarebytes a suscité des inquiétudes quant à l'ampleur potentielle du vol de données présumé. L'entreprise a affirmé que les données volées pourraient être utilisées à diverses fins malveillantes, notamment le vol d'identité, les attaques de phishing et les prises de contrôle de comptes. Le dark web, une partie cachée d'Internet, est souvent utilisé pour acheter et vendre des données volées.

La réponse d'Instagram, tout en reconnaissant le problème des demandes de réinitialisation de mot de passe, a minimisé la possibilité d'une violation de données plus large. La déclaration de l'entreprise suggère que le problème était limité au mécanisme de réinitialisation de mot de passe et n'impliquait pas d'accès non autorisé aux données des comptes d'utilisateurs.

Le manque de détails spécifiques de la part d'Instagram concernant l'incident a alimenté la spéculation et l'incertitude parmi les utilisateurs. Les experts en sécurité recommandent aux utilisateurs qui ont reçu des demandes de réinitialisation de mot de passe suspectes d'activer l'authentification à deux facteurs sur leurs comptes et de se méfier des tentatives de phishing. L'authentification à deux facteurs ajoute une couche de sécurité supplémentaire en exigeant que les utilisateurs fournissent un deuxième code de vérification en plus de leur mot de passe.

L'incident souligne l'importance de mesures de sécurité proactives et d'une communication transparente de la part des plateformes de médias sociaux. Les utilisateurs sont encouragés à mettre régulièrement à jour leurs mots de passe, à se méfier des e-mails et des messages suspects et à signaler tout problème de sécurité à la plateforme. Instagram n'a pas encore annoncé d'autres mesures qu'il prendra pour prévenir des incidents similaires à l'avenir.