Hàng triệu người dùng Instagram nhận email đặt lại mật khẩu: Meta phủ nhận bị tấn công, dữ liệu rò rỉ

Đáng chú ý, bộ dữ liệu hiện tại không chứa mật khẩu đăng nhập, yếu tố quan trọng nhất để chiếm quyền kiểm soát tài khoản.

Những email cảnh báo bảo mật hay yêu cầu đặt lại mật khẩu không còn xa lạ với người dùng Instagram. Tuy nhiên, trong những ngày gần đây, cộng đồng mạng tiếp tục xôn xao trước thông tin cho rằng hàng triệu tài khoản Instagram có thể đã bị rò rỉ dữ liệu, kéo theo làn sóng email đặt lại mật khẩu gửi tới người dùng trên toàn cầu.

Trước các nghi vấn về một cuộc tấn công mạng quy mô lớn, Meta – công ty mẹ của Instagram – khẳng định không có bất kỳ sự cố xâm phạm dữ liệu nào đang diễn ra, đồng thời cho rằng các báo cáo hiện tại đang bị hiểu nhầm.

Sự việc bắt đầu khi Malwarebytes, một công ty chuyên về an ninh mạng, đưa ra cảnh báo về một bộ dữ liệu được cho là liên quan đến khoảng 17,5 triệu tài khoản Instagram đang được rao bán và lan truyền trên các diễn đàn ngầm. Theo mô tả ban đầu, bộ dữ liệu này bao gồm nhiều thông tin cá nhân nhạy cảm như tên người dùng, địa chỉ email, số điện thoại, địa chỉ nhà và một số chi tiết cá nhân khác.

Malwarebytes từng nhận định rằng dữ liệu có thể đã bị thu thập thông qua việc khai thác một lỗ hổng API chưa từng được công bố của Instagram. Tuy nhiên, sau đó Instagram xác nhận rằng đúng là từng tồn tại một lỗi API cho phép kẻ xấu gửi hàng loạt email yêu cầu đặt lại mật khẩu, nhưng khẳng định không có bất kỳ dữ liệu người dùng nào bị truy cập trái phép.

Meta cho biết lỗ hổng nói trên đã được khắc phục và chỉ ảnh hưởng đến “một số lượng nhỏ” người dùng. Với những email đặt lại mật khẩu bất thường, công ty khuyến cáo người dùng nên bỏ qua nếu họ không chủ động yêu cầu thay đổi mật khẩu, đồng thời nhấn mạnh rằng mật khẩu tài khoản không hề bị lộ.

Về con số 17,5 triệu tài khoản được nhắc tới, các chuyên gia an ninh mạng hiện vẫn chưa tìm thấy bằng chứng rõ ràng cho thấy đây là dữ liệu mới. Nhiều khả năng, bộ dữ liệu này bắt nguồn từ các sự cố thu thập dữ liệu API trong quá khứ, đặc biệt là vụ việc xảy ra vào năm 2022 hoặc thậm chí xa hơn.

Một giả thuyết được đánh giá là hợp lý hơn cho rằng dữ liệu đang lan truyền thực chất xuất phát từ vụ rò rỉ API quy mô lớn năm 2017, sự cố mà Instagram sau đó đã chính thức thừa nhận. Trong kịch bản này, tập dữ liệu “mới” chỉ là phiên bản được tổng hợp lại từ các thông tin đã từng bị lộ trước đây. Đáng chú ý, bộ dữ liệu hiện tại không chứa mật khẩu đăng nhập, yếu tố quan trọng nhất để chiếm quyền kiểm soát tài khoản.

Dù Meta khẳng định hệ thống của Instagram vẫn an toàn, người dùng vẫn được khuyến cáo cần nâng cao cảnh giác. Các email yêu cầu đặt lại mật khẩu không rõ nguồn gốc nên được bỏ qua nếu không xuất phát từ nhu cầu cá nhân. Đồng thời, việc kích hoạt xác thực hai yếu tố (2FA), sử dụng mật khẩu mạnh hoặc các biện pháp bảo mật bổ sung vẫn là cách hiệu quả để giảm thiểu rủi ro trước những hình thức tấn công lặp đi lặp lại nhưng tinh vi.