In den vergangenen Tagen erhielten zahlreiche Instagram-Nutzer eine verdächtige E-Mail, in der sie zum Zurücksetzen ihres Passworts aufgefordert wurden. Darin heißt es, Instagram habe eine Anfrage für einen Passwort-Reset erhalten.
Während viele die Mail einfach ignorierten, fürchteten einige, dass es sich um einen Phishing-Versuch handeln könnte. Doch die Anfrage von Instagram stellte sich als echt heraus.
Verschiedene Seiten wie Bleepingcomputer berichteten anschließend darüber, dass es zu einem großen Datenleck gekommen sei, bei dem Angreifer die Nutzerdaten von circa 17 Millionen Instagram-Konten abgreifen konnten. Zumindest tauchten entsprechende Behauptungen in einschlägigen Foren auf.
Der Datensatz soll demnach die Benutzernamen und IDs von circa 17 Millionen Konten enthalten. Hinzu kommen noch 12 Millionen Klarnamen, 6 Millionen E-Mail-Adressen und 3 Millionen Telefonnummern. Passwörter sollen in dem Datensatz nicht auftauchen.
Instagram bestreitet Datenabfluss
Kurze Zeit später meldete sich Instagram selbst zu Wort. Ein Sprecher gab gegenüber Bleepingcomputer an, dass es zwar ein technisches Problem gab, das das Versenden von Passwort-Reset-Mails durch externe Quellen überhaupt erst ermöglicht hatte. Dennoch soll es zu keinem Datenleck gekommen sein.
In den sozialen Medien versicherte Instagram ebenfalls, dass kein Grund zur Sorge bestehe. Man solle die E-Mails einfach ignorieren, weitere Maßnahmen wären nicht notwendig.
Woher stammen die Daten dann?
Wenn die Daten nicht aus dem jüngsten Vorfall stammen, stellt sich die berechtigte Frage, woher der Datensatz dann stammen könnte. Experten gehen davon aus, dass die Nutzerdaten aus einem anderen Leak aus dem Jahr 2024 entnommen wurden.
Andere behaupten hingegen, dass die Daten aus dem Jahr 2022 stammen. Instagram bestätigte aber auch die Existenz dieser beiden Vorfälle nicht. Der letzte, offiziell bestätigte Leak würde bis zum Jahr 2017 zurückliegen.
Währenddessen vermeldet der Sicherheitsforscher Troy Hunt über seinen Dienst Have I Been Pawned, dass 6 Millionen E-Mail-Adressen von Instagram-Konten geleakt wurden. Hunt gilt als sichere Quelle für die Echtheit solcher Leaks, daher gehen wir davon aus, dass die Daten tatsächlich aus dem Leak stammen könnten.
Was Sie jetzt tun sollten
Wer eine entsprechende E-Mail von Instagram erhalten hat, muss sich zunächst nicht sorgen, dass das Konto gehackt wurde. Denn, wie bereits erwähnt, wurden keine Passwörter geleakt. Sie sollten allerdings vermehrt auf Bedrohungen durch Phishing-Attacken Acht geben und prüfen, ob Ihre Adresse bei HIBP gemeldet wurde.
Aktivieren Sie gegebenenfalls auch die Zwei-Faktor-Authentifizierung für Ihr Instagram-Konto, falls das noch nicht passiert ist. Weitere Tipps, wie Sie sich vor Phishing schützen können, finden Sie hier.
SOCIAL SHARE CARD GENERATOR