安全公司Malwarebytes在暗網監測行動中，發現一起規模龐大的Instagram用戶數據泄露事件，涉及約1750萬用戶。此次泄露并非源于傳統服務器入侵，而是攻擊者利用2024年末可能處于未受保護狀態的API端點，通過系統性抓取公開接口數據的方式獲取信息。
泄露的數據范圍涵蓋用戶全名、電子郵箱地址、電話號碼及地理位置信息，但未包含賬戶密碼。盡管核心登錄憑證未被竊取，攻擊者已迅速展開"二次利用"——大量Instagram用戶反饋收到異常密碼重置郵件，這些郵件實為攻擊者偽裝官方發送的釣魚內容，旨在誘導用戶泄露登錄憑證或實施其他詐騙行為。
安全專家特別指出，電子郵箱與電話號碼的雙重泄露為"SIM卡交換攻擊"提供了便利條件。犯罪分子可通過偽造身份獲取用戶手機號控制權，進而攔截短信形式的雙重驗證（2FA）代碼，突破賬戶安全防護。這種攻擊方式近年來在金融詐騙領域屢見不鮮，此次數據泄露使其威脅范圍擴展至社交媒體領域。
截至目前，Instagram母公司meta尚未就此事件發布官方聲明，既未說明數據泄露的具體技術路徑，也未公布是否會主動通知受影響用戶。這種沉默態度引發用戶對賬戶安全的持續擔憂，部分網絡安全組織已呼吁用戶盡快檢查賬戶關聯信息，并啟用非短信形式的雙重驗證方式。
