В конце прошлой недели разработчики Instagram сообщили, что неизвестные злоумышленники воспользовались критическим багом в API социальной сети. Подробности об уязвимости раскрыты не были, но сообщалось, что проблема позволяла атакующим узнавать номера телефонов и email-адреса пользователей.
Тогда представители сервиса заверили, что баг был оперативно устранен, и не назвали точное количество пострадавших, лишь заявили, что пострадало «небольшое количество пользователей». Команда Instagram сообщила, что пароли не были скомпрометированы, и хакеры атаковали в основном аккаунты звезд. Так, сообщалось, что всех верифицированных пользователей уведомили о проблеме и возможной утечке данных.
Как выяснилось теперь, проблемы из-за бага в API постигли не только знаменитостей (в частности, на прошлой неделе неизвестные взломали Instagram-аккаунт актрисы и певицы Селены Гомес). Теперь неизвестные преступники запустили сайт Doxagram, который позволяет за $10 узнать контактные данные конкретного пользователя социальной сети. Злоумышленники сообщили, что их база содержит информацию о 6 000 000 аккаунтов, а в доказательство своих слов предоставили журналистам издания Daily Beast информацию о 1000 учетных записей, включая данные о 50 самых популярных аккаунтах Instagram.
В настоящее время ресурс уже прекратил работу (возможно, злоумышленники слишком быстро меняют домены или собираются переместить свой сервис в даркнет), но ИБ-специалисты успели обнаружить в базе Doxagram информацию об известных актерах, музыкантах, политиках, спортсменах и так далее.
Разработчики Instagram опубликовали официальное сообщение в блоге, согласно которому расследование происшедшего продолжается, и к делу подключились правоохранительные органы. В посте главный технический директор социальной сети Майк Кригер (Mike Krieger) признал, что точное количество пострадавших аккаунтов не могут определить даже сами разработчики, однако вновь подчеркнул, что таких должно быть немного. Учитывая, что в настоящее время Instagram пользуются 700 млн человек, 6 млн – это действительно «немного» в масштабах сервиса.
