¿Hackeo a Instagram? Millones de usuarios recibieron alertas que nunca pidieron

El inicio de 2026 trajo ruido para Meta e Instagram. Miles de usuarios comenzaron a recibir correos legítimos de restablecimiento de contraseña que nunca solicitaron, lo que encendió alertas de un posible ataque masivo.

El contexto se agravó cuando Malwarebytes reportó la circulación de una base de datos con información asociada a 17,5 millones de cuentas. Si bien no hubo acceso directo a las cuentas, sí se expusieron datos sensibles como correos, teléfonos y direcciones.

Meta negó una brecha directa en sus sistemas. La explicación técnica apunta a la explotación de un bug ya corregido en el flujo de password reset, permitiendo el envío masivo de solicitudes. No se rompió la infraestructura, pero sí se abusó de un mecanismo legítimo.

Este tipo de incidentes no suelen venir de flows mal protegidas contra abuso: falta de rate limiting, detección de anomalías o controles de comportamiento.

Para los usuarios, la recomendación es simple: ignorar los correos, no hacer clic en enlaces y activar 2FA (Verificación en dos pasos). Para quienes construyen productos, la lección es más profunda: la seguridad no solo protege sistemas, protege la confianza.