Rubati i dati di 17,5 milioni di utenti Instagram e ora in vendita sul Dark Web

è stata segnalata una maxi violazione che riguarda un database con i dati di circa 17,5 milioni di utenti Instagram, attualmente in vendita su forum del Dark Web.​

Cosa è successo

• Una società di sicurezza (Malwarebytes) ha individuato sul Dark Web un archivio che contiene dati collegati a 17,5 milioni di account Instagram.​
• Il set di dati sembra collegato a una precedente esposizione dell’API di Instagram del 2024, poi arricchito incrociando informazioni da altri database (marketing, e‑commerce, precedenti leak).​
• Meta/Instagram al momento nega una violazione diretta dei propri sistemi, sostenendo che il problema riguardi un soggetto esterno che ha inviato richieste di reset password, non un accesso ai loro server.​

Quali dati sarebbero esposti

Secondo le analisi pubblicate, nel database in vendita risultano:​

• Username Instagram.​
• Indirizzi email.​
• Numeri di telefono.​
• Indirizzi fisici di residenza.​
• Altre informazioni di contatto e profilo, utili per data enrichment e profilazione mirata.​

Questa combinazione rende molto più efficaci phishing, truffe personalizzate e potenziali furti d’identità.​

Segnali da tenere d’occhio

Molti utenti stanno riportando:​

• Email di reset password Instagram non richieste.​
• Maggiore quantità di phishing via email/SMS che cita Instagram o altri servizi Meta.​
• Possibili tentativi di takeover account usando i dati esposti.​

Se hai un account Instagram, è prudente comportarti come se i dati fossero potenzialmente esposti, anche se non c’è conferma puntuale per singolo utente.​

Cosa fare subito (consigli pratici)

• Cambia la password di Instagram con una diversa da tutte le altre, lunga e complessa, meglio se gestita da un password manager.​
• Attiva la 2FA basata su app (TOTP, tipo Authy/Google Authenticator) o chiave hardware, evitando per quanto possibile solo SMS.​
• Diffida di tutte le email di “reset password Instagram”:
  • non cliccare i link,
  • se hai dubbi, apri Instagram/app Meta manualmente e controlla da lì.​
• Tieni d’occhio anche email/SMS/telefonate che usano nome, indirizzo o telefono in modo troppo preciso: potrebbero venire dal dataset arricchito.​
• Se usi lo stesso indirizzo email su altri servizi sensibili (banche, e‑commerce, PEC, ecc.), valuta un giro di cambio password anche lì e controlli di sicurezza aggiuntivi.

Nel dataset legato al breach dei 17,5 milioni di utenti risultano esposti principalmente dati di identificazione e contatto, non le password, ma comunque sufficienti per profiling e attacchi mirati.​

Tipologie di dati esposti

• Username/account Instagram associato all’utente.​
• Indirizzo email completo collegato all’account.​
• Numero di telefono associato al profilo.​
• Indirizzo fisico o dati di localizzazione (indirizzo di casa o località/indirizzo parziale).​

Altre informazioni e cosa NON risulta incluso

• Alcune fonti parlano genericamente di “altre informazioni personali” senza elencare in modo pubblico tutti i campi (campo “and more/altre informazioni” nei sample del forum).​
• Le analisi disponibili indicano che non risultano incluse password in chiaro, ma la combinazione dei dati esposti è comunque sufficiente per phishing, social engineering e potenziale furto d’identità.

Solonnik (o varianti come Solonik) e Subkek sono gli alias di threat actor che hanno pubblicato il dataset del breach Instagram su forum del Dark Web come BreachForums, intorno al 7 gennaio 2026.​

Chi è Solonnik/Solonik

• È l’identificativo principale usato dal threat actor che ha caricato il database “INSTAGRAM.COM 17M GLOBAL USERS — 2024 API LEAK” su BreachForums, offrendolo gratuitamente per massimizzarne la diffusione.​
• Non risulta identificato con un gruppo noto (tipo LockBit o simili), ma opera come singolo o piccolo attore che monitora/traffica leak. Malwarebytes lo ha tracciato come primo a postare il dataset.​
• Claim: i dati derivano da scraping API Instagram fine 2024, non da una nuova breach diretta.​

Chi è Subkek

• Alias alternativo o seller correlato (alcune fonti lo menzionano come chi ha “venduto/advertizzato” i dati su mercati Dark Web), con claim di “fresh scrape” da API pubbliche e fonti country-specific tra settembre-dicembre 2024.​
• Potrebbe trattarsi dello stesso attore (variazioni di nick comuni nel Dark Web) o di un rivenditore secondario che ha ripubblicato il leak.​
• Focus su vendita attiva, con sample che mostrano email, phone e location parziali.​

Contesto operativo

• Entrambi operano su piattaforme come BreachForums, tipiche per leak gratuiti o low-cost per guadagnare reputazione/hype.​
• Nessuna attribuzione a nazioni o gruppi specifici; esperti li classificano come opportunisti che arricchiscono dati da leak passati (API Instagram 2024).​
• Rischio: il dump gratuito accelera phishing/account takeover, come i reset password segnalati.

Chi ha i dati esposti nel breach Instagram corre rischi immediati di phishing mirato, takeover account e furto d’identità, grazie alla combinazione di username, email, phone e indirizzi fisici.​

Phishing e social engineering

• Email/SMS falsi che fingono di essere da Instagram (es. “reset password urgente”), usando dati reali come nome, indirizzo o telefono per convincere a cliccare link malevoli o condividere OTP/2FA.​
• Reset password abusivi: cybercriminali usano email/phone per avviare reset legittimi, poi intercettano il codice via SIM swap o phishing.​
• Attacchi di impersonation: truffatori contattano fingendosi amici/brand, citando dettagli personali dal leak per estorcere soldi o dati.​

Takeover account e credential stuffing

• Accesso forzato a Instagram (e account collegati, tipo Facebook/email), per rubare contenuti privati, contatti o monetizzare (es. spam, vendita follower).​
• Propagazione: una volta dentro Instagram, attaccano wallet crypto, banking app o altri servizi con password riciclate.​

Furto d’identità e rischi fisici

• Creazione profili falsi per frodi finanziarie (prestiti, acquisti con dati reali).​
• Stalking/swatting: indirizzi fisici esposti abilitano molestie online/offline o false emergenze alle forze dell’ordine.​
• Estorsioni mirate: minacce di pubblicare info sensibili o foto dal profilo.​

Questi rischi sono amplificati dal dump gratuito su BreachForums, che lo rende accessibile a migliaia di criminali.

＼ Get the latest news ／