Instagram, dati di 17,5 milioni di utenti sul Dark Web: rischio reale anche per gli indirizzi di casa

Nei giorni scorsi molti utenti di Instagram hanno trovato nella casella di posta un messaggio dal titolo "Resetta la tua password". Secondo l'articolo, pubblicato da Quotidiano.net da Roma il 10 gennaio 2026, nella maggior parte dei casi non si tratta della solita campagna di phishing. La notizia è però peggiore di quanto sembri: quelle mail sarebbero l'onda lunga di una violazione di dati che gli esperti di Malwarebytes Labs descrivono come uno dei più gravi incidenti di sicurezza degli ultimi dieci anni.

Secondo quanto riportano questi esperti, un database con le informazioni di circa 17,5 milioni di utenti Instagram è stato sottratto e messo in vendita sul Dark Web, la parte di internet che richiede accorgimenti particolari per essere esplorata. Non si tratterebbe di un bug momentaneo, ma di un furto massiccio di dati.

Ciò che rende il caso diverso dai precedenti è il contenuto dell'archivio. Oltre a nomi utente, email e numeri di telefono, include gli indirizzi fisici di residenza. L'articolo ipotizza che i dati siano stati sottratti sfruttando una falla nei sistemi che gestiscono i profili Business o lo Shopping su Instagram. Con l'indirizzo di casa in circolazione, il rischio smette di essere solo virtuale e si apre quello del doxxing: rendere pubblici i dati privati di una persona perché altri la molestino o la perseguitino nella vita reale.

Un capitolo a parte riguarda i profili più seguiti. Il collettivo di sicurezza italiano RansomNews spiega che gli account con molti follower potrebbero essere tra i bersagli privilegiati, per un motivo economico: prendere il controllo del profilo di un influencer, di uno sportivo, di un politico o di un'azienda consente di chiedere un riscatto per restituirlo o per non diffondere contenuti privati. Questi account, osserva il collettivo, sono spesso anche i meno protetti. Sono gestiti da staff numerosi, tra social media manager, agenzie e assistenti, e l'autenticazione a due fattori diventa un ostacolo pratico: condividere tra persone che lavorano da luoghi diversi un codice che cambia ogni 30 secondi è laborioso. Per comodità, quindi, viene spesso disattivata.

Poi c'è la confusione nelle caselle di posta. Molte delle mail di reset password sono autentiche e arrivano davvero da Instagram. Secondo TheCyberSecGuru, poiché gli hacker hanno milioni di nomi utente, probabilmente usano bot per tentare di indovinare le password a ripetizione, il cosiddetto attacco a forza bruta. I sistemi di sicurezza rilevano i tentativi sospetti e inviano al proprietario legittimo un avviso o una richiesta di cambio password.

In questo flusso si inseriscono altri criminali, estranei al furto principale, che approfittano del panico per mandare milioni di mail di phishing che imitano alla perfezione quelle vere. L'obiettivo è che l'utente spaventato clicchi su un link falso e consegni le proprie credenziali. Nella stessa casella possono quindi convivere, a pochi minuti di distanza, una mail vera del sistema di difesa di Meta e una falsa. Il consiglio dell'articolo è di non cliccare mai sui link nelle mail e di agire sempre dall'app ufficiale.

Il secondo pericolo riguarda il telefono. La presenza dei numeri nel database espone al sim-swapping: con numero e dati personali un criminale può ingannare l'operatore e farsi trasferire la linea su una nuova SIM. Se ci riesce, riceve gli SMS della vittima, compresi i codici di sicurezza per entrare in Instagram o nel conto bancario.

Sul piano dei fatti, la notizia poggia soprattutto su fonti di settore e non su una conferma ufficiale riportata nell'articolo. Da seguire, nei prossimi giorni, ci sono eventuali comunicazioni dirette agli utenti coinvolti e l'attenzione ai messaggi che chiedono di cliccare.