Des millions de identifiants Instagram circulent sur le Dark Web : alerte face à une nouvelle vague de phishing

Une vulnérabilité de l’API Instagram de 2024 a exposé plus de 17,5 millions de comptes, dont les données personnelles refont surface sur des plateformes clandestines. Les informations compromises incluent noms d’utilisateur, adresses e-mail, numéros de téléphone et métadonnées associées aux profils, créant une menace immédiate pour les utilisateurs concernés.

L’origine de la crise : une erreur de configuration catastrophique

La faille provient d’une configuration défectueuse dans les systèmes de l’API Instagram, qui a permis l’extraction non autorisée de millions de profils d’utilisateurs. Bien que l’incident ait eu lieu en 2024, la réapparition de ces données sur le dark web en janvier 2026 a relancé le risque, transformant des informations anciennes en un actif précieux pour les cybercriminels.

Malwarebytes, la société de cybersécurité reconnue, a identifié cette nouvelle diffusion de données compromises sur Breachforums et d’autres plateformes d’échange illégal, alertant publiquement sur les implications en matière de sécurité.

Le danger réel : campagnes de phishing sophistiquées

Les attaquants ne possèdent pas seulement les données personnelles, ils ont aussi trouvé une manière ingénieusement efficace de les exploiter. Ils utilisent les informations filtrées pour envoyer des e-mails frauduleux simulant des demandes de réinitialisation de mot de passe Instagram. Comme les destinataires reconnaissent leurs données réelles dans les messages, le taux de succès de ces campagnes de phishing augmente considérablement.

Le volume de tentatives de usurpation a augmenté notablement depuis la réapparition des données sur le dark web, avec des milliers d’utilisateurs signalant des e-mails suspects ciblant leurs comptes.

Mesures immédiates de protection

Malwarebytes recommande à tous les utilisateurs potentiellement affectés de prendre des mesures défensives sans délai :

• Changer de mot de passe : Mettre à jour le mot de passe Instagram et, surtout, tout compte utilisant le même mot de passe
• Activer l’authentification à deux facteurs : Cette couche supplémentaire de sécurité entrave significativement les tentatives d’accès non autorisées
• Vérifier les changements de compte : Examiner l’activité récente et les appareils connectés dans les paramètres de sécurité
• Se méfier des liens dans les e-mails : Accéder directement à Instagram via le navigateur plutôt que de cliquer sur des liens dans des e-mails

Le silence de Meta

Pour l’instant, Meta n’a pas publié de communiqués publics en réponse à la réapparition de ces données sur le dark web ni fourni d’informations sur des mesures supplémentaires qu’elle pourrait mettre en œuvre pour protéger ses utilisateurs. Cette absence de réponse contraste avec la gravité de l’exposition et maintient les utilisateurs dans l’incertitude quant aux actions correctives futures.

La situation souligne l’importance cruciale de l’hygiène de sécurité personnelle et renforce que, indépendamment des mesures mises en place par les plateformes, la responsabilité individuelle dans la protection des identifiants reste fondamentale.