Allégation de fuite de données Instagram en 2026
Le jeu de données de janvier 2026 associé à Instagram rassemble des informations de profil et des coordonnées qui auraient été publiées sur un forum clandestin sous l’intitulé « fuite API de 2024 ».
Types de données exposées
6- Noms affichés
- Adresses e-mail
- Localisations géographiques
- Numéros de téléphone
- Identifiants utilisateur
- Noms d’utilisateur
À propos de cette fuite de données
Un répertoire vérifié de violations de données fait état de 6 215 150 adresses e-mail uniques dans le jeu de données attribué à Instagram et indique qu’un ensemble plus vaste contenait environ 17 millions de lignes d’informations publiques provenant d’Instagram. Bien que ces données aient prétendument été collectées au moyen d’une API, les éléments disponibles ne permettent d’établir ni une intrusion dans les systèmes d’Instagram, ni la méthode de collecte, ni la date alléguée de 2024.
Les champs dont la présence est étayée comprennent les noms affichés, les noms d’utilisateur, les identifiants utilisateur, les adresses e-mail, les pays ou des informations de localisation partielles, ainsi que des numéros de téléphone dans certains enregistrements. La présence de mots de passe, de messages privés, de jetons de session, de données de paiement ou de contenus de profils privés n’est pas confirmée. Le chiffre de 6 215 150 correspond à des identifiants e-mail uniques, et non à des personnes distinctes, à des comptes Instagram actifs ou à l’ensemble des 17 millions de lignes. En production, aucune tâche d’importation locale ni aucun jeu de données permettant une recherche par personne ne sont liés à cet événement.
Les e-mails de réinitialisation du mot de passe constituent un événement distinct
À peu près au moment où le jeu de données est apparu, certains utilisateurs ont reçu des e-mails de réinitialisation du mot de passe qu’ils n’avaient pas demandés. Instagram a déclaré avoir corrigé un problème qui permettait à un tiers externe de demander l’envoi de tels e-mails à certaines personnes. La plateforme a également affirmé que ses systèmes n’avaient subi aucune intrusion et que les comptes étaient sécurisés. Une analyse de sécurité indépendante a jugé cette concordance temporelle suspecte, mais n’a trouvé aucun lien clair entre les demandes de réinitialisation et le jeu de données publié sur le forum. La déclaration de la plateforme porte sur le problème des e-mails de réinitialisation et n’explique pas, à elle seule, l’origine du jeu de données; les deux événements restent distincts.
Limites en matière de confidentialité et de sécurité
Une correspondance portant sur une adresse e-mail, un numéro de téléphone ou un profil ne prouve ni une identité légale, ni une localisation précise, ni l’identité du titulaire actuel d’un compte, ni une activité privée sur ce compte, ni une prise de contrôle de celui-ci. Le rapprochement entre des informations de profil publiques et des coordonnées directes peut néanmoins rendre plus convaincants des messages frauduleux concernant l’assistance, les droits d’auteur, une collaboration avec une marque ou la vérification d’un compte. La présence d’un numéro de téléphone peut faciliter le ciblage d’escroqueries se faisant passer pour un opérateur mobile ou portant sur des codes de vérification, mais elle ne démontre pas qu’un échange frauduleux de carte SIM a eu lieu.
Mesures de précaution
N’utilisez pas de lien figurant dans un e-mail de réinitialisation du mot de passe inattendu; si vous devez vérifier votre compte, ouvrez directement l’application Instagram ou une adresse officielle que vous connaissiez déjà. Vous pouvez examiner les sessions que vous ne reconnaissez pas et les coordonnées associées au compte, puis utiliser un mot de passe unique ainsi qu’une authentification multifacteur reposant sur une application d’authentification ou une clé de sécurité. Puisque la présence d’aucun mot de passe n’est confirmée dans ce jeu de données, une correspondance ne doit pas, à elle seule, être considérée comme la preuve d’une fuite de mot de passe ou d’une prise de contrôle du compte.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
