Si el anuncio del ciberdelincuente es verídico y no una mera 'machada' significaría que el incidente afecta a una cuarta parte de todos los usuarios de la red social de Meta (Instagram cuenta con más de 2.000 millones de usuarios activos mensuales). 

Se supone que el método para hacerse con toda esta información habría sido el raspado de datos o web scraping. 

Se ha hecho pública una muestra de más de un centenar de registros, ofreciendo una vista previa de información que incluye nombre, nombre de usuario, dirección de email, biografía, URL externa, seguidores y seguidos, ubicación, fecha de creación de la cuenta, categoría de cuenta (influencer o empresa, por ejemplo) e ID de usuario.

Se supone que han extraído los datos recientemente. Los investigadores de Cybernews habrían corroborado que los perfiles de Instagram que se han compartido en la muestra de datos parecen auténticos. 

Sin embargo, las direcciones de email incluidas en la muestra no estaban presentes en los conjuntos de datos recopilados a partir de infracciones anteriores. Desde Cybernews especulan con que esto podría suponer dos cosas: que los datos son nuevos o bien son falsos. 

“Las API públicas no deberían exponer información como las direcciones de correo electrónico de los usuarios si no son accesibles de forma abierta y pública cuando se utiliza el servicio normalmente”, dijo un investigador de Cybernews.

“Si se cree en el atacante obtuvo los datos extrayendo datos de una API pública, significa que una API privada de Instagram quedó expuesta al público o que su API pública es vulnerable a la Autorización de Nivel de Propiedad de Objeto Roto”, ha comentado. 

¿Y ahora qué?

Con estos datos los cibermalos podrían llevar a cabo ataques de suplantación de identidad y de ingeniería social. Las cuentas comerciales o pertenecientes a influencers que tengan muchos seguidores podrían ser especialmente susceptibles a ellos. 

Aunque el raspado de datos es una técnica alegal, las políticas de Meta mencionan que usar la automatización para obtener información sin el permiso de la compañía supone una violación de sus términos. De hecho, el gigante del Social Media tendría un equipo dedicado al uso indebido de datos externos (EDM) enfocado en detectar y disuadir el scraping. 

Fuentes:

https://www.escudodigital.com/ciberseguridad/casi-500-millones-usuarios-instagram-robo-datos_61214_102.html