Instagram memaklumkan isu yang membolehkan pihak tidak bertanggungjawab menghantar permintaan semula kata laluan secara besar-besaran telah diperbaiki. Syarikat itu turut menegaskan akaun pengguna masih selamat dan tiada sebarang penggodaman sistem berlaku.
We fixed an issue that let an external party request password reset emails for some people. There was no breach of our systems and your Instagram accounts are secure.
You can ignore those emails — sorry for any confusion.
— Instagram (@instagram) January 11, 2026
Memetik laporan BleepingComputer, isu kebocoran data itu timbul selepas Malwarebytes memberi amaran bahawa data daripada 17.5 juta akaun telah tertiris dan dikongsi secara percuma di forum penggodam.
Cybercriminals stole the sensitive information of 17.5 million Instagram accounts, including usernames, physical addresses, phone numbers, email addresses, and more. pic.twitter.com/LXvjjQ5VXL
— Malwarebytes (@Malwarebytes) January 9, 2026
Individu yang menyiarkan data itu mendakwa ia diperoleh melalui kebocoran API pada 2024, namun dakwaan ini belum disahkan.
Secara keseluruhan, data yang dikongsi melibatkan 17,017,213 profil akaun Instagram, termasuk nombor telefon, nama pengguna, nama penuh, alamat fizikal, alamat e-mel dan ID Instagram.
Sementara itu, penyelidik keselamatan siber di X pula mendakwa data berkenaan mungkin berasal daripada insiden pengikisan (data scraping) API pada 2022, tetapi tiada bukti jelas diberikan.
‼️ The Instagram data leak file was created on 2022-06-20 10:37:22 and shared via a cloud service on 2023-03-24.
Nevertheless, it remains interesting as it is now being widely distributed, with the public obtaining it for free for the first time. https://t.co/CsgM8HwLM0 pic.twitter.com/WQmoMPorUa
— International Cyber Digest (@IntCyberDigest) January 10, 2026
Sebelum ini, Instagram pernah mengalami insiden serupa pada 2017, termasuk pepijat yang dieksploitasi untuk mengikis dan menjual maklumat peribadi kira-kira 6 juta akaun.
Setakat ini, tiada bukti ia merupakan kebocoran baharu. Meta menegaskan tiada kompromi API pada 2022 atau 2024, dan penyelidik keselamatan belum menunjukkan bukti data ini diperoleh melalui kerentanan terkini.