Filtración masiva en Instagram: exponen datos de 17,5 millones de cuentas

Durante este inicio de 2026, se ha detectado una actividad inusual relacionada con solicitudes masivas de restablecimiento de contraseña. Tanto usuarios habituales como perfiles con gran número de seguidores han sido blanco de estos mensajes, que aparentan total legitimidad y provienen del canal habitual de la red social.

En la mayoría de los casos, los destinatarios no habían solicitado el cambio de contraseña. El volumen y frecuencia de los correos hizo sospechar que se trataba de algo más que un simple error aislado. Rápidamente, surgieron debates y alertas en redes sociales, alimentados por la sensación de que podía tratarse de un problema serio de seguridad.

Qué está pasando con las cuentas en Instagram

El 9 de enero, la empresa de software antivirus Malwarebytes publicó detalles sobre una filtración de datos que, según sus investigaciones, ponía en jaque a una cantidad enorme de cuentas.

La compañía aseguró que un grupo de ciberdelincuentes logró robar información confidencial de 17,5 millones de cuentas de Instagram, incluyendo nombres de usuario, direcciones físicas, números de teléfono y direcciones de correo electrónico. El hallazgo de este conjunto de datos en un foro de ciberdelincuencia elevó la alarma, ya que no se trataba de una simple extracción automatizada, sino de un “kit de doxing” completo y funcional.

Las hipótesis sobre el mecanismo del ataque apuntaban a dos posibilidades: un ataque de fuerza bruta automatizado generaba múltiples solicitudes de cambio de contraseña para sembrar confusión y, entre los mensajes legítimos, intentar colar un correo malicioso; o bien Meta, la compañía propietaria de Instagram, había iniciado un reinicio preventivo de contraseñas en cuentas consideradas vulneradas.

Por su parte, Instagram salió al paso de los rumores señalando que el incidente se debió a un “problema de software” que permitía a un tercero solicitar correos electrónicos de restablecimiento de contraseña para algunas personas.

Negó rotundamente que se hubiera producido un acceso no autorizado a sus servidores o una vulneración de sus sistemas. En su declaración, la empresa aseguró: “No se produjo ninguna vulneración de nuestros sistemas y vuestras cuentas de Instagram están seguras”. El comunicado concluyó con disculpas a los usuarios afectados por las molestias ocasionadas.

Cuál es el riesgo real qué viven ahora los usuarios de Instagram

La diferencia entre ambos relatos es significativa. Malwarebytes apunta a una filtración de datos masiva y comercialización de información personal en el mercado negro, lo que implica riesgos tanto en el entorno digital como en la vida real.

Instagram, en cambio, minimiza el alcance y lo reduce a un fallo en el envío de correos electrónicos de restablecimiento de contraseña, sin consecuencias para la integridad de las cuentas o los datos almacenados en sus sistemas.

Los detalles publicados por Malwarebytes refuerzan la tesis de un incidente grave: los datos filtrados incluyen nombres reales, direcciones físicas, números de teléfono y direcciones de correo electrónico. La información estaría siendo vendida en lotes clasificados por país y cantidad de seguidores, priorizando cuentas de alto perfil como las de influencers o empresas.

Instagram, por su parte, insiste en que ningún atacante logró acceder a los servidores ni hacerse con datos desde dentro de la plataforma. En su versión, los usuarios recibieron mensajes de cambio de contraseña no solicitados, pero sus cuentas permanecieron protegidas en todo momento.

Qué hacer en caso de ser víctima de este ataque

Ante este panorama, la recomendación es actuar con cautela y no interactuar con ningún enlace recibido por correo electrónico, aunque el mensaje parezca auténtico. No se debe tocar sobre los enlaces que aparezcan en los correos electrónicos, por muy reales que parezcan.

En caso de recibir una notificación inesperada para restablecer la contraseña, lo más seguro es modificarla directamente desde la aplicación siguiendo la ruta: ‘Configuración y actividad’ > ‘Centro de cuentas’ > ‘Contraseña y seguridad’ > ‘Cambiar contraseña’. Es recomendable elegir una contraseña larga, robusta y exclusiva para Instagram.

Otra medida fundamental es activar la autenticación en dos pasos desde el mismo apartado de seguridad en la aplicación. Los expertos recomiendan evitar la opción basada en SMS y optar por aplicaciones de autenticación para una protección más sólida.

Cerrar las sesiones abiertas en todos los dispositivos, revisar la sección de ‘Correos electrónicos de Instagram’ en la configuración y eliminar cualquier mensaje sospechoso completa la lista de acciones preventivas. Si se detecta algún correo ajeno a los canales oficiales, debe eliminarse de inmediato y reportarse a la plataforma.