Instagram отрицает взлом после появления базы данных с 17 млн профилей в открытом доступе

На фоне множества сообщений в СМИ об утечке информации из более чем 17 млн аккаунтов Instagram компания Meta* сообщила о закрытии уязвимости, связанной с рассылкой писем для сброса пароля. В компании заявили, что разговор идёт не о взломе, а об устранённой технической ошибке.

По информации издания BleepingComputer, представители Meta подтвердили, что платформа ранее допускала возможность массовой отправки запросов на смену пароля. В Meta уточнили, что сбои в системе уже исправлены, а работа над усилением защиты продолжается. В компании добавили, что доступ к внутренним системам злоумышленники не получали, а сами аккаунты пользователей остаются под надёжной защитой.

Всплеск обсуждений в СМИ начался после публикации предупреждения от компании Malwarebytes. Там сообщили, что неизвестные лица распространили массив персональных данных из 17,5 млн учётных записей. Как утверждается в отчёте Malwarebytes, массив содержит не только имена и логины, но и номера телефонов, адреса электронной почты, физические адреса и уникальные идентификаторы профилей.

Данные, выложенные в открытом доступе на хакерских форумах, якобы связаны с утечкой API Instagram. Автор публикации заявил, что сбор информации происходил через уязвимость, зафиксированную ещё в 2024 году. При этом доказательств подлинности источника и времени сбора информации не предоставлены.

В совокупности база содержит данные о 17 017 213 профилях. По структуре массива можно выделить следующие объёмы:

• ID: 17 015 503;
• имя пользователя: 16 553 662;
• адреса электронной почты: 6 233 162;
• номера телефонов: 3 494 383;
• имена: 12 418 006;
• физические адреса: 1 335 727.

В большинстве записей содержатся только базовые параметры — идентификаторы и логины. Остальная информация встречается не во всех случаях.

Специалисты по кибербезопасности на платформе X допускают, что опубликованные данные относятся к инциденту, произошедшему ещё в 2022 году. По мнению этих экспертов, сбор информации происходил через API-соединения. Однако прямых доказательств, подтверждающих это предположение, пока не представлены.

Представители Meta, комментируя ситуацию для BleepingComputer, заявили, что не располагают сведениями о каких-либо утечках API в 2022 или 2024 годах. По их данным, подобных инцидентов в эти периоды зафиксировано не было.

История подобных случаев у Instagram уже есть. В 2017 году была обнаружена ошибка, позволившая злоумышленникам получить доступ к конфиденциальной информации о примерно 6 млн пользователей. Тогда эта информация распространялась в даркнете и на закрытых площадках. Связана ли текущая публикация с тем инцидентом или представляет собой компиляцию из разных источников — пока неясно.

* Корпорация Meta, владеющая Instagram, признана экстремистской организацией и запрещена на территории Российской Федерации.