Instagram ha declarado que sus sistemas no fueron vulnerados y que los correos recientes de restablecimiento de contraseña que algunos usuarios recibieron fueron activados por un tercero externo que explotó un fallo ya solucionado.

La compañía afirma que las cuentas de los usuarios siguen siendo seguras y que los correos de restablecimiento inesperados pueden ignorarse sin problema.

Esta aclaración surge tras informes sobre una fuga masiva de datos de Instagram en la que se publicitaron detalles de aproximadamente 17,5 millones de cuentas en foros de cibercrimen.

Ese conjunto de datos, supuestamente recopilado en 2024, contenía nombres de usuario, direcciones de correo electrónico, números de teléfono y datos parciales de ubicación, lo que alimentó temores de tomas de control de cuentas y ataques de phishing dirigido.

En un breve comunicado público, Instagram dijo que había "solucionado un problema que permitía a un tercero externo solicitar correos de restablecimiento de contraseña para algunas personas". La plataforma insistió en que no hubo ninguna brecha en sus sistemas y aseguró a los usuarios que sus cuentas de Instagram son seguras, contradiciendo directamente las especulaciones de que los atacantes hubieran obtenido acceso interno.

Según Instagram, el fallo permitía a partes desconocidas activar correos legítimos de restablecimiento de contraseña sin haber comprometido las cuentas afectadas.

Aunque este comportamiento resultó alarmante para los usuarios, la compañía indica que no otorgó a los atacantes la capacidad de cambiar contraseñas ni iniciar sesión; más bien, se utilizó para enviar spam con solicitudes de restablecimiento como un problema o vector de ingeniería social.

El mensaje de Instagram instruye a los usuarios para que ignoren cualquier correo no solicitado de restablecimiento de contraseña recibido durante este período.

Aun así, los profesionales de seguridad recomiendan activar la autenticación en dos factores, usar contraseñas únicas y mantenerse alerta ante mensajes de phishing que hagan referencia a noticias recientes de seguridad para parecer más convincentes.

La coincidencia en el tiempo del problema con los correos de restablecimiento y la aparición del conjunto de datos de 17,5 millones de registros en mercados de la dark web ha generado dudas sobre si los raspadores de datos o actores maliciosos utilizaron la información de contacto expuesta para atacar a usuarios específicos.

Aunque Instagram mantiene que su infraestructura principal no fue comprometida, los expertos señalan que este incidente demuestra cómo la recopilación masiva de datos y los fallos menores de las plataformas pueden combinarse para crear riesgos graves de percepción y seguridad para los usuarios de redes sociales.