INFORME ESPECIAL . Alerta por masiva filtración de datos en Instagram

Por Rodrigo E. Bionda (*)

Especial para El Tiempo

En esta diáspora de soledades hiperconectadas, forjadas bajo un cielo oscurecido por un enjambre de datos binarios y acechadas por las contradicciones sistémicas que plantea el telón de silicio, el phono sapiens sigue buscando desorientado soluciones autobiográficas desde una narrativa que no le brinda una explicación convincente, aunque le haya generado la necesidad de creer que existe. Por esa razón, surgen artefactos culturales como los dioses, los sistemas filosóficos, las ideologías absolutas y las promesas tecnológicas de salvación o encuentro con la otredad, incrustadas en efímeros despliegues de superpoderes otorgados a héroes cada vez más perezosos.

Lo paradojal reside en que el ser humano es capaz de un pensamiento extraordinariamente sofisticado, pero emocionalmente sigue siendo casi el mismo que hace miles de años. En términos matemáticos, se podría afirmar que mientras la tecnología crece de forma exponencial, la conciencia se mantiene casi de forma constante.

No existe otra explicación para entender cómo nos hemos inmolado en un confesionario portátil, entregando letra y música de nuestra trayectoria vital a espíritus algorítmicos que, confinados en plataformas digitales, nos han conducido a convertir nuestra vida en escenario, haciendo que olvidemos que esencialmente es trayecto.

Una de esos lagos de alquimia sintética más visitados es Instagram. Un espejo, espejito que contiene ánimas algorítmicas que nos susurran imperceptiblemente que nuestro escenario vital es el más bonito. Operando como una plataforma global que cuenta con miles de millones de usuarios en esa cárcel con las puertas abiertas que son las cuentas personales, las de creadores y de influencers de negocios. Para admitir la autenticación, la entrega de contenido, la publicidad, la mensajería y la recuperación de cuentas, la plataforma mantiene almacenados amplias reservas de datos de usuario en sistemas interconectados.

Debido a esta escala y al nivel de confianza colocado en las identidades de las redes sociales, plataformas como Instagram siguen siendo objetivos de alto valor para los ciberatacantes. Las cuentas comprometidas se pueden aprovechar para preparar estafas, atacar mediante suplantación de marca, para efectuar campañas de desinformación o ataques secundarios contra usuarios y sus redes. Recientemente se identificó una masiva filtración de datos o data breach de Instagram, cuando un usuario comenzó a ofrecer un gran conjunto de datos atribuido a las cuentas de usuario de Instagram en la dark web. Tal como fuera reconocido por Meta, la empresa detrás de Instagram, el conjunto de datos contiene registros vinculados a aproximadamente 6,2 millones de usuarios, lo que sitúa a esta filtración masiva entre las exposiciones de datos relacionados con las redes sociales más significativas en los últimos meses.

El conjunto de datos comprometido apareció en un popular foro de piratería informática, publicado por un actor de amenazas que opera bajo el alias "Solonik" ofreciendo un listado, titulado "INSTAGRAM.COM 17M GLOBAL USERS - 2024 API LEAK", que afirmaba contener 17,5 millones de registros formateados en archivos JSON y TXT. [Ver Foto en Pág. 6] Según la publicación, los datos se recogieron a finales de 2024 a través de una "filtración de API", evitando las medidas de seguridad estándar para obtener los perfiles de los usuarios a nivel mundial. Si bien Instagram no ha revelado públicamente cómo ocurrió la filtración, siguiendo los patrones observados en grandes brechas de plataformas, los posibles vectores de acceso a los datos filtrados pueden haber incluido compromiso de sistemas internos o proveedores externos, abuso de recuperación de cuenta o herramientas de soporte, el acceso no autorizado a bases de datos de backend, una exposición o mala configuración de la API. Estas posibilidades se presentan sólo para el contexto analítico y no deben interpretarse como causas confirmadas, ya que Meta ha guardado silencio sobre este punto.

¿Cuáles son los datos expuestos?

A diferencia de los incidentes históricos, este conjunto de datos filtrados contiene también campos no públicos, incluidos datos de contacto y direcciones físicas. La presencia de esta información sugiere acceso más allá de las interfaces de interacción pública. Los múltiples informes de notificaciones legítimas de restablecimiento de contraseña de Instagram recibidas por los usuarios indican, además, que los atacantes pudieron interactuar con los mecanismos de recuperación de cuentas, ya sea abusando de los datos de contacto expuestos o activando directamente los flujos de trabajo internos.

Descendiendo al universo de la dark web, es posible chequear que la violación de datos de Instagram incluye los siguientes tipos de datos:

-Nombres completos y nombres de usuario de Instagram.

-Direcciones de correo electrónico verificadas y asociadas a cuentas.

-Números de teléfono utilizados para verificación o recuperación.

-ID de usuarios.

-Direcciones de correo físicas.

-Metadatos de la cuenta utilizados en los procesos de recuperación.

La base de datos filtrada es particularmente perjudicial debido a la profundidad de la información personal que contiene. Las capturas de pantalla de las muestras de datos confirman la validez de estos campos, mostrando una lista estructurada de detalles personales que permiten a los ciberatacantes crear perfiles completos de sus objetivos.

Si bien no hay indicios de que las contraseñas de texto plano estuvieran expuestas, la combinación de datos de contacto e identificadores de cuenta es suficiente para permitir la ingeniería social a gran escala, el phishing y los intentos de adquisición de cuentas.

Explotación activa y abuso de restablecimiento de contraseña

Uno de los aspectos más preocupantes de la violación de datos de Instagram recientemente detectada es la evidencia de explotación activa. Los usuarios que informan de correos electrónicos legítimos de restablecimiento de contraseña indican que los atacantes están intentando acceder a las cuentas en tiempo real. Debe recordarse que el abuso de restablecimiento de contraseña puede resultar en el bloqueo de cuenta temporal o permanente; acceso no autorizado a la cuenta si los reinicios tienen éxito; toma de cuentas por estafas o spam o el uso de cuentas comprometidas para atacar a los seguidores.

Riesgos para los usuarios afectados

La filtración de datos de Instagram presenta riesgos inmediatos y, a largo plazo, para las personas afectadas. Las cuentas de las redes sociales a menudo están estrechamente vinculadas a la identidad personal, las operaciones comerciales y otros servicios en línea. Los riesgos clave que este data breach genera incluyen desde la toma de posesión de la cuenta y pérdida de acceso, intentos de suplantación de individuos o marcas, preparación de estafas financieras dirigidas a los seguidores, posibles ataques de reutilización de credenciales en otras plataformas o la exposición de la información de ubicación física

Las vías de explotación comunes incluyen mensajes de phishing que se hacen pasar por alertas de seguridad de Instagram o derechos de autor falsos o avisos de verificación, intentos de estafas de suplantación de marcas o el envío de enlaces maliciosos a través de mensajes directos; con el agravante de que debido a que los mensajes pueden hacer referencia a detalles reales de la cuenta, es más probable que los usuarios confíen en ellos.

Posibles acciones de mitigación de Instagram

Las plataformas que se enfrentan a escenarios de explotación activa deben priorizar la contención y la protección del usuario. Es por ello que, probablemente, las medidas de mitigación que vaya a adoptar Instagram puedan incluir medidas tales como forzar el restablecimiento de la contraseña para las cuentas afectadas, la deshabilitación de los flujos de trabajo de recuperación vulnerables, debería incluir una mejora de la detección de anomalías para restablecer el abuso, efectuar auditoría de registros de acceso y sistemas de backend y -sin dudas- mejorar la transparencia con los usuarios

La respuesta rápida es esencial para evitar más compromisos en las cuentas.

Acciones recomendadas para usuarios de Instagram

Ante esta masiva filtración de datos, los usuarios deben actuar de inmediato para proteger sus cuentas, adoptando precauciones adicionales a las habituales. Es porello que resulta recomendable:

-Restablecer las contraseñas de Instagram a valores únicos.

-Habilitación de la autenticación de dos factores, utilizando una aplicación de

autenticación en lugar de SMS.

-Revisión de la actividad de inicio de sesión de la cuenta.

-Tener cuidado con correos electrónicos o mensajes solicitando alguna acción determinada.

-Escanear dispositivos en busca de malware.

Los usuarios sólo deben restablecer las contraseñas a través de la aplicación o sitio web oficial de Instagram y evitar hacer clic en enlaces en mensajes no solicitados.

También, ignorar cualquier correo electrónico de restablecimiento de contraseña no solicitado.

Ante el reciente caso de violación de datos de Instagram se recomienda a los usuarios diversas acciones de protección de cuenta.

Cerrando sesión

Sobre el cierre de este nuevo fallido intento de la búsqueda de un sentido antes que verdades objetivas, producto de la convicción de que la realidad es más compleja de lo que la mente humana puede abarcar, vuelve a sobrevolar la sensación de que el conocimiento avanza, pero la incertidumbre nunca desaparece. Que cada respuesta genera nuevas preguntas.

De algún modo, el progreso no elimina los misterios: los desplaza. Mientras, el ser humano sigue temiendo dos cosas por encima de todo: no importar y no comprender; una pulsión toma forma asertiva y se sueltas desde la yema de los dedos: la humanidad no escribe para describir el mundo tal como es, sino para aprender a soportarlo.

(*) Juez en lo Civil y Comercial de la Provincia de Buenos Aires. Titular de la Materia "Dimensión jurídica de la blockchain y los activos digitales" en la Universidad de Palermo. Docente de Grado y Posgrado en otras Universidades y Organismos Nacionales y Extranjeros. Investigador. Autor de obras individuales y coautor en obras colectivas. Miembro admitido por la Asamblea General de Naciones Unidas del Comité Ad Hoc para la elaboración de una Convención Internacional sobre la Lucha contra el Uso de las Tecnologías de la Información y de las Comunicaciones con Fines Delictivos de la ONU. Profesor invitado en las universidades Santa Marta La Antigua de Panamá, en la Escuela Judicial "Rodrigo Lara Bonilla" de Colombia, en el I.N.S.J.U.P. del Órgano Judicial de Panamá, en el Superior Tribunal de Cali en Colombia, en el Rotary de Guadalajara, México, en la Universidad Espíritu Santo de Ecuador, en Cámara Granada y Universidad de Salamanca en España, entre otras. Especialista convocado por las Comisiones de Derechos y Garantías y de Justicia y de Asuntos Penales del Honorable Senado de la Nación.