駭客於多個論壇兜售1750萬筆Instagram用戶資料，傳出是4年前的舊資料再度流出

上週名為Solonik的人士在暗網駭客論壇兜售臺灣Costco（好市多）會員個資，引起國內媒體爭相報導，現在傳出此人握有社群網站Instagram大批資料，並在多個駭客論壇散布，成為全球資安圈的焦點。

這個消息最早源自資安公司Malwarebytes的社群網站貼文，他們1月10日在X上提出警告，有人竊得1,750萬筆Instagram帳號敏感資料，內容包括使用者名稱、實體地址、電話號碼，以及電子郵件信箱。不過特別的是，他們附上一張重設密碼的電子郵件截圖，似乎意有所指，攻擊者疑似假借重設密碼通知信從事網釣。

根據Bleeping Computer、GBHackers On Security，以及SecurityAffairs等多家資安新聞網站的報導，這批資料已經流入多個駭客論壇，並提供用戶下載，而且，駭客已向Instagram用戶從事網釣攻擊，以密碼重設為由寄送電子郵件來犯案。

這批資料的內容為何？發布資料的人士聲稱，檔案來自2024年由Instagram的API資料外洩事故，包括17,015,503個ID、16,553,662個使用者名稱、12,418,006個姓名、6,233,162個電子郵件、3,494,383組電話號碼，以及1,335,727個實際地址。資安電子報International Cyber Digest指出，這批資料建立的時間在2022年6月，並於2023年3月上傳至雲端服務共用；資安研究員Seb也公布相關發現，他提及發布資料的人都宣稱，檔案於2024年公布，來自外號為Solonik的人，但實際上這批是2022年就遭竊的資料，駭客重新發布和上傳到駭客論壇。

SecurityAffairs引述資安網站The Cybersec Guru的說法，指出已有百萬Instagram用戶收到駭客寄送的密碼重設通知信，並形容這批資料與過往有所不同，駭客用於人肉搜索，與行銷名單、資料掮客，或是其他外洩資料進行比對，將用戶的Instagram ID與真實資料拼湊起來，這些資料並非單純以筆數計價，而是根據用戶地理位置與追蹤者數量銷售，主要目標是網路名人和知名的企業帳號。The Cybersec Guru強調，由於駭客將Instagram用戶的帳號與真實地址連結，這批資料外流的危害程度將超越帳號接管，使得駭客有機會以此進行跟蹤、身分竊盜，甚至進行勒索。

GBHackers On Security取得賣家Subkek的說法，這批資料是過去3個月透過公開API抓取。

針對這起資料外洩事故，Bleeping Computer取得Meta的說法，對於2022年或2024年有API資料洩露事件的傳聞，Meta表示不清楚，不過，針對能允許攻擊者大量發送密碼重設通知信的弱點，Instagram已著手修補。此外，由於目前外流的資料當中並未包含密碼，用戶光是更換密碼可能難以因應相關威脅。