Massiver Datenabfluss bei Instagram - 17,5 Millionen Nutzerkonten betroffen

Im Darknet werden aktuell etwa ein Jahr alte Daten von rund 17,5 Millionen Instagram Nutzern angeboten. Enthalten sind neben Nutzernamen auch E-Mail-Adressen, Telefonnummern, Klarnamen und Standortdaten (teils Adressdaten). Der Verkäufer „Subkek“ behauptet, dass die Daten über öffentliche APIs und „länderspezifische Quellen“ gesammelt wurden. Technisch bedeutet dies weniger ein Eindringen in die Kern-Infrastruktur, sondern eher, dass Schutzmechanismen gegen Massenabfragen versagt haben. Dieses Muster ist bei Meta nicht unbekannt und weckt Erinnerungen an den großen Facebook-Leak von 2021.

Bekannt geworden ist der Vorfall durch einen Bericht der Cybersecurity-Firma Malwarebytes. Erste Nutzer berichten bereits von unautorisierten Passwort-Reset-Anfragen, was auf laufende Übernahmeversuche durch Cyberkriminelle hindeutet. Neben der Gefahr durch Phishing-Angriffe und Identitätsdiebstahl besteht aufgrund der geleakten Telefonnummern auch ein erhöhtes Risiko für SIM-Swapping, wodurch Angreifer SMS-basierte Sicherheitsvorkehrungen aushebeln könnten. Betroffenen wird dringend empfohlen, die Zwei-Faktor-Authentifizierung zu aktivieren und komplexe Passwörter zu nutzen. Bisher gibt es seitens Meta keine offizielle Stellungnahme. Auch wenn die Daten öffentlich einsehbar waren, könnte der Vorfall für den Konzern datenschutzrechtliche Konsequenzen nach sich ziehen, da die DSGVO auch das automatisierte Abgreifen öffentlicher Profile reglementiert.

 Bisher gibt es seitens Meta noch keine offizielle Stellungnahme zum genauen Umfang oder zur Ursache des Vorfalls. Sollten die Daten tatsächlich ausschließlich per API-Zugriff und Scraping abgeflossen sein, dürfte es für Meta zudem schwierig werden, genauere Angaben zu machen.