Instagram заявил, что не сталкивался с утечкой данных, несмотря на то, что некоторые пользователи получили запросы на сброс пароля, вызвавшие обеспокоенность. Заявление последовало за публикацией в Bluesky от компании-разработчика антивирусного программного обеспечения Malwarebytes, в которой был скриншот электронного письма от Instagram, уведомляющего пользователя о запросе на сброс пароля.

Malwarebytes заявила в своей публикации в пятницу, что киберпреступники украли конфиденциальную информацию с 17,5 миллионов учетных записей Instagram, включая имена пользователей, физические адреса, номера телефонов и адреса электронной почты. Компания также заявила, что эти данные продаются в даркнете и могут быть использованы киберпреступниками.

Instagram ответил в X, ранее Twitter, заявив, что решил проблему, которая позволяла внешней стороне запрашивать электронные письма для сброса пароля для некоторых пользователей. Компания не раскрыла подробности о внешней стороне или конкретном характере проблемы. Пост Instagram завершился извинениями за любую путаницу и советом пользователям игнорировать подозрительные электронные письма.

Расхождение между заявлением Malwarebytes о крупномасштабной краже данных и утверждением Instagram об отсутствии утечки данных подчеркивает проблемы в оценке и отчетности об инцидентах кибербезопасности. Запросы на сброс пароля, хотя часто и законны, также могут быть тактикой, используемой злоумышленниками для получения несанкционированного доступа к учетным записям, техникой, известной как credential stuffing (подбор учетных данных). В атаках credential stuffing киберпреступники используют списки имен пользователей и паролей, полученные в результате предыдущих утечек данных, чтобы попытаться войти в учетные записи на других платформах.

Отсутствие прозрачности со стороны Instagram в отношении конкретной уязвимости и вовлеченной внешней стороны вызвало критику со стороны экспертов по безопасности. Без дополнительной информации трудно оценить потенциальное воздействие на пользователей и эффективность ответа Instagram. Решение компании объявить об исправлении в X, а не на своей собственной платформе, также вызвало вопросы.

Инцидент подчеркивает важность надежной гигиены паролей и включения двухфакторной аутентификации, которая добавляет дополнительный уровень безопасности, требуя код подтверждения с устройства пользователя в дополнение к его паролю. Пользователям, получившим подозрительные запросы на сброс пароля, следует немедленно изменить свои пароли и следить за своими учетными записями на предмет каких-либо признаков несанкционированной активности.

Instagram пока не предоставил дальнейших обновлений по ситуации. Обращение компании с этим инцидентом, вероятно, будет внимательно изучено исследователями безопасности и пользователями, поскольку это вызывает опасения по поводу безопасности данных и прозрачности.