Një shkelje masive e sigurisë së të dhënave ka komprometuar informacionin personal të rreth 17.5 milionë përdoruesve të Instagram, duke i ekspozuar ata ndaj rrezikut serioz të vjedhjes së identitetit dhe mashtrimeve të synuara online. Të dhënat e rrjedhura po qarkullojnë aktualisht në forume të dark ëeb dhe janë identifikuar fillimisht nga studiues të sigurisë kibernetike në Malwarebytes.
Sipas raportimeve, databaza e komprometuar u publikua nga një aktor kërcënues me pseudonimin “Solonik”, nën titullin “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK”. Pretendohet se të dhënat janë mbledhur në fund të vitit 2024 përmes një dobësie në API, duke anashkaluar masat standarde të sigurisë dhe duke mundësuar grumbullimin masiv të profileve të përdoruesve në shkallë globale.
Rrjedhja është veçanërisht shqetësuese për shkak të sasisë dhe ndjeshmërisë së informacionit të përfshirë. Ajo nuk përmban vetëm emra përdoruesish, por edhe emra të plotë, adresa email-i të verifikuara, numra telefoni, ID përdoruesish, si dhe të dhëna për vendndodhjen dhe shtetin. Mostrat e publikuara tregojnë se informacioni është i strukturuar mirë, duke u mundësuar kriminelëve kibernetikë të ndërtojnë profile të detajuara të viktimave.
Pas publikimit të të dhënave, rreziku ka kaluar nga teorik në praktik. Shumë përdorues kanë raportuar rritje të njoftimeve të padëshiruara për rivendosje fjalëkalimi. Edhe pse fjalëkalimet nuk duket se janë pjesë e rrjedhjes, kombinimi i email-eve dhe numrave të telefonit është i mjaftueshëm për sulme si SIM swapping dhe mashtrime të avancuara përmes inxhinierisë sociale. Mashtruesit mund të hiqen si suporti zyrtar i Instagram-it dhe të mashtrojnë përdoruesit për të dorëzuar kode verifikimi ose kredenciale hyrjeje.
Ngjarja klasifikohet si “scraping” përmes API-ve publike, por shkalla e saj tregon mangësi serioze në kufizimin e kërkesave dhe mbrojtjen e privatësisë. Ekspertët këshillojnë aktivizimin e menjëhershëm të autentifikimit me shumë faktorë përmes aplikacioneve autentifikuese dhe injorimin e çdo email-i të dyshimtë për rivendosje fjalëkalimi.
