Una fallada de seguretat a Instagram exposa dades de comptes

Instagram ha corregit una fallada en el sistema web per restablir contrasenyes que va poder deixar visibles correus electrònics i números de telèfon associats a comptes de la xarxa social. El problema es va detectar el 6 de juny del 2026 i afectava la pantalla que normalment hauria de mostrar aquestes dades només de forma parcial, no completes.

Segons la informació disponible, no estem parlant de contrasenyes publicades ni d'una entrada massiva als servidors d'Instagram. Però l'esglai no és menor. Un correu o un telèfon real poden ser justament la peça que falta perquè un atac de «phishing» sembli molt més creïble.

La decisió d'Instagram

El problema estava al flux web de recuperació de compte. En una situació normal, Instagram mostra una pista del correu o del número de telèfon perquè l'usuari reconegui el mètode de recuperació sense exposar-lo del tot.

Aquesta vegada, segons diversos informes de ciberseguretat, aquesta protecció va fallar. En intentar iniciar el restabliment de contrasenya, la pantalla podia mostrar el correu electrònic i el número de telèfon sense amagar-los. Algunes captures van circular en xarxes socials i fins i tot apuntaven a comptes d'alt perfil, com el de Mark Zuckerberg, conseller delegat de Meta.

Meta va corregir la decisió poc després que es fes públic. Tot i així, el dany potencial ja hi era, perquè durant aquest interval algú va poder recopilar dades de comptes concrets. És el típic error petit en aparença que, a la pràctica, obre una porta força incòmoda.

Què se sap de l'origen

Investigadors i comptes especialitzats en seguretat van assenyalar el problema a X. El col·lectiu vx-underground va avisar que Instagram estava mostrant telèfons i correus en intentar recuperar una contrasenya, cosa que va ajudar que la decisió es difongués ràpidament entre la comunitat de ciberseguretat.

L'investigador conegut com a Scot0xo el va descriure com «un error lògic» al flux web de restabliment. Això vol dir que el problema no estaria en una contrasenya robada ni en una API oberta sense control, sinó en una decisió o comprovació mal aplicada dins del procés normal de recuperació.

Dit d'una altra manera, la porta d'ajuda mateixa mostrava més informació de la que devia. No calia trencar un pany sofisticat si el sistema ensenyava la dada a la pantalla equivocada.

Per què et pot afectar

Un correu electrònic i un número de telèfon no permeten, per ells mateixos, entrar en un compte. Però serveixen per fer atacs més personalitzats. I aquí comença el problema.

Amb aquestes dades, un atacant pot preparar un correu fals que sembli venir d'Instagram o Meta. També podeu enviar un SMS amb un enllaç maliciós i un avís urgent, com si hi hagués un intent d'inici de sessió o una suspensió de compte.

Aquest tipus d'engany funciona perquè toca una fibra molt humana. Veus el teu nom, el teu correu correcte o una alerta que sembla real, i baixes la guàrdia. Un clic ràpid al mòbil es pot convertir en una contrasenya lliurada sense adonar-te'n.

El risc del phishing

El phishing consisteix a suplantar una empresa o servei per robar dades. Pot arribar per correu, per missatge directe o per SMS, i en aquest cas se sol anomenar «smishing». La idea és sempre semblant, ficar-te pressa i portar-te a una pàgina falsa.

Instagram recorda al vostre Centre d'ajuda que, davant d'un missatge sospitós que digui venir de la plataforma, convé no fer clic a enllaços ni adjunts. També recomana no respondre a aquest tipus de correus o missatges, una norma simple que continua sent de les més efectives.

L?exposició de dades de recuperació fa que aquests atacs siguin més convincents. No pas perquè l'atacant sigui més brillant, sinó perquè ara hi pot afegir detalls reals. És com si un desconegut truqués a la teva porta sabent el teu nom complet i el teu portal.

Com protegir el teu compte

La primera mesura és revisar qualsevol missatge relacionat amb Instagram amb calma. Si rebeu un avís per canviar la contrasenya, entreu des de l'aplicació oficial o escrivint tu l'adreça al navegador. No facis servir l'enllaç d'un correu o SMS que no esperaves.

També val la pena activar l'autenticació en dues passes. Instagram permet configurar-la des del Centre de comptes, dins de «Contrasenya i seguretat», i triar un mètode addicional per verificar l'inici de sessió.

Fes servir una contrasenya única per a Instagram i no la repeteixis en altres serveis. Pot sonar bàsic, però en seguretat digital allò bàsic sol ser el que més evita disgustos. Si heu reutilitzat aquesta clau en una altra web, canvieu-la també allà.

Una lliçó per a Meta

Aquest cas recorda que els sistemes de recuperació de compte són una zona delicada. Estan pensats per ajudar quan algú oblida una contrasenya, però també manegen dades molt sensibles. Si fallen, es poden convertir en una eina útil per a atacants.

Per a Meta, l'incident arriba en un moment en què els processos de suport i recuperació de comptes estan sota més atenció. La companyia havia presentat millores a l'assistència per a Facebook i Instagram, inclosa ajuda basada en IA per a problemes de compte i recuperació d'accés.

Pels usuaris, la conclusió és més pràctica. Instagram ja ha corregit la sentència, però les dades que algú hagi pogut veure no es poden «desver». Per això convé estar atent a correus, SMS i missatges rars durant les properes setmanes. L'informe principal sobre la decisió s'ha publicat a Cyber ​​Security News.