今週は、Malwarebytes の後、特に Instagram ユーザーにとって混乱した週となりました。 発表された 1月9日、メタ社が所有するプラットフォームに関わるデータ侵害を追跡したと発表した。同社によると、ハッカーにより1,750万件のInstagramアカウントのデータがオンラインに流出したという。漏洩した情報には、ユーザー名、電子メール アドレス、電話番号、住所が含まれていました。
Malwarebytes 自身の X (旧 Twitter) での言葉では、 「サイバー犯罪者は、ユーザー名、住所、電話番号、電子メール アドレスなどを含む 1,750 万件の Instagram アカウントの機密情報を盗みました。「
X 上のマルウェアバイト
このツイートは、この事件が最近のデータ侵害であることをほのめかしていました。その主張は不正確です。 Hackread.com の調査により、データは本物であり、捏造されたものではありませんが、少なくとも最近では、サイバー犯罪者によって盗まれていないことが確認されました。
参考までに、Malwarebytes は、2026 年 1 月 7 日に Solonik という別名のユーザーによって公開された、「INSTAGRAM.COM 1,700 万人のグローバル ユーザー – 2024 年の API リーク」というタイトルの BreachForums の投稿を参照していました。
投稿では、データは2024年の侵害によるもので、ユーザー名、電子メール、電話番号、ユーザーID、部分的な位置情報が含まれていると主張した。実際には、Hackread.com の調査により、これはもともと 2022 年に収集された再パッケージ化されたスクレイピングであることが確認されました。
同じデータは、2023 年 6 月に「vanz」として知られるユーザーによって初めて BreachForums で漏洩され、同時期に別のフォーラムである LeakBase にも表面化しました。これを2024年のリークとラベル付けしたのは、古いデータを新しいデータとして再ブランド化するための意図的な動きであり、信頼性を誇張して注目を集めるためによく使用される戦術です。
2022年に2023年にリークされ、その後2026年に投稿 – Solonikの投稿はユーザーからの批判を受けて再投稿としてマークされました（画像クレジット：Hackread.com）
数字を合わせる
いわゆる「最新」の Instagram データ漏洩には、17,017,213 件のユーザー レコードが含まれています。この数値は、2023 年 6 月に「vanz」によって、そして 2026 年 1 月に「Solonik」によって漏洩されたデータと正確に一致します。数値が同一であるだけでなく、サンプル データをざっと見ただけでも、それが直接コピーであることが確認されます。形式、フィールド、エントリはすべて以前のリークと一致します。
Hackread.com は 17,017,213 件のレコードすべてをクロスチェックし、「新しい」リークは 2022 年の同じデータを新しいものとして再パッケージ化して再投稿したものにすぎないことを確認できました。
漏洩したデータセットの数値と記録の照合 (画像クレジット: Hackread.com)
パスワードリセットメールとInstagramの率直かつ曖昧な対応
流出の報告が再浮上した後、一部のユーザーはインスタグラムからパスワードリセットメールを受け取るようになった。当初、データにはパスワードが含まれていなかったため、これらはフィッシングの試みではないかとの憶測がありました。
メールは Instagram の公式ドメインから送信され、青いチェックマークが付いていることが確認されたため、Instagram が実際に侵害され、攻撃者が実際のユーザーデータにアクセスしたのではないかと多くの人が信じています。
しかし、本日、2025 年 1 月 11 日、Instagram は X に関する申し立てに対処しました。同社は侵害を否定しましたが、問題により外部関係者が一部のユーザーにパスワード リセット メールを送信できたことは認めました。
インスタグラムは「外部の団体が一部のユーザーのパスワードリセットメールを要求できる問題を修正した。当社のシステムへの侵害はなく、インスタグラムのアカウントは安全だ。これらのメールは無視していただいて構いません。混乱させて申し訳ありません」とインスタグラムはツイートした。
X のインスタグラム
これは、より大きな疑問を引き起こします。この外部関係者は誰で、どのようにして正規のパスワード リセット電子メールを送信できたのでしょうか?誰か、または何らかの自動システムが、スクレイピングされたデータセットからの同じユーザー名を使用して Instagram のパスワード リセット機能を悪用したのでしょうか?
この活動の背後に誰がいるのかは依然として不明ですが、ユーザーは要求していないパスワード リセットの電子メールを受信しており、これが混乱を増大させ、侵害の申し立てを広める一因となりました。
サイバーセキュリティニュースのタブロイド化
サイバーセキュリティ報道における深刻な問題は、信頼できる情報源というよりタブロイド紙に近い出版物が台頭していることです。これらの報道機関は、クリックに応じて記事を速報しようと急いでおり、多くの場合、データの基本的なチェックさえ行わずに、ソーシャルメディアやテレグラムチャネルからの未確認の主張に依存しています。
Instagram の最新の事件が示すように、「侵害」に関する劇的な見出しを流す前に、情報の出所、年齢、正当性を確認する努力はまったく行われませんでした。そうすることで、パニックを広げ、読者を混乱させ、実際のセキュリティ研究を損ない、実際のサイバーセキュリティの脅威に対する国民の理解を傷つけます。
Instagram ユーザーへのアドバイス: フィッシングとスミッシングのリスクは依然として残る
ただし、流出したデータは古いものではありますが、そこに含まれる情報は本物です。詐欺師がターゲットを絞ったフィッシングおよびスミッシング キャンペーンを開始する必要があるのはこれだけです。データにリストされている Instagram ユーザーは、Instagram、Meta、またはその他の信頼できるサービスからのふりをした不審な電子メールに警戒する必要があります。
これらのメッセージは、ユーザーをだましてパスワードを入力させたり、悪意のあるリンクをクリックさせたり、添付ファイルをダウンロードさせたりしようとする可能性があります。リンクや緊急のセキュリティ警告を含む SMS メッセージについても同様です。リクエストしていないパスワード リセットの電子メールまたはメッセージを受信した場合は、何もクリックしないでください。アプリまたはサイトに直接アクセスして、そこから確認します。リサイクルされたデータは今でも使用されており、最初の漏洩から何年も経っても損害を引き起こすことがよくあります。
#Instagramの1700万ユーザーのデータ漏洩は2022年の記録を盗んだだけだった #Hackread #サイバーセキュリティニュースデータ侵害AIなど