Fuga de Instagram: 17,5 millones de cuentas expuestas nuevamente en 2026
Una enorme base de datos de usuarios de Instagram ha vuelto a aparecer, poniendo en riesgo millones de cuentas más de un año después de que la fuga inicial pareciera haber quedado en el olvido. Alrededor de 17,5 millones de perfiles de Instagram están afectados por esta nueva ola, detectada a principios de enero de 2026 en un foro de hackers bien conocido.
Según una alerta del editor de ciberseguridad Malwarebytes, el responsable sería un pirata que opera bajo el pseudónimo Solonik. Aunque la situación parece una nueva brecha, los expertos son claros: los datos provienen en realidad de un incidente ocurrido en 2024, relacionado con una API de Instagram mal configurada que actores maliciosos habían explotado durante varios meses antes de que Meta solucionara la falla.
Una fuga antigua… pero nunca realmente desaparecida
En ese momento, los atacantes pudieron extraer silenciosamente una gran cantidad de información pública y semi-privada. La base de datos luego desapareció de la dark web, lo que llevó a creer que el episodio había terminado.
Su reaparición en 2026 recuerda una dura realidad: una vez que los datos personales circulan, pueden resurgir en cualquier momento — a veces en un contexto aún más peligroso.
Un «kit de doxxing» especialmente preocupante
Lo que hace que esta fuga sea tan grave es el nivel de detalle de la información expuesta. No se trata solo de nombres de usuario:
- Nombres y apellidos completos
- Direcciones de correo electrónico
- Números de teléfono
- Direcciones postales físicas
Para los cibercriminales, esto es un tesoro. Estos datos permiten pasar de spam masivo a ataques extremadamente dirigidos y creíbles. Malwarebytes ya ha observado un aumento de estafas en las que los estafadores se hacen pasar por el soporte de Instagram para obtener información de inicio de sesión.
La estafa más insidiosa: el falso reinicio… auténtico
La técnica más temible se basa en un desvío psicológico. Los piratas no solo envían correos electrónicos falsos:
En su lugar, inician verdaderas solicitudes de restablecimiento de contraseña desde los servidores oficiales de Instagram.
Como resultado:
- Recibes un verdadero correo electrónico procedente de @meta.com o @instagram.com
- Te pones en pánico, pensando que alguien está intentando acceder a tu cuenta
- En este momento de estrés, eres mucho más vulnerable a una llamada o mensaje de phishing que sigue.
Es un ataque increíblemente efectivo, ya que se basa en mensajes completamente legítimos.
Meta permanece en silencio, el riesgo es global
Hasta el 11 de enero de 2026, Meta no ha comunicado públicamente sobre este resurgimiento de datos. Si los primeros impactos visibles se concentran en Europa, el riesgo es global, especialmente para los usuarios que reutilizan la misma contraseña en varios servicios sensibles (correo electrónico, banco, almacenamiento en la nube).
¿Qué hacer de inmediato?
Los especialistas en seguridad son unánimes:
- Cambia tu contraseña de Instagram inmediatamente
- Utiliza una contraseña única, nunca reutilizada en otra parte
- Activa la autenticación de dos factores, preferiblemente a través de una aplicación (y no por SMS)
Este caso es un recordatorio brutal: corregir una falla no hace que los datos ya robados desaparezcan. Pueden volver a aparecer meses o incluso años después — y atacar cuando menos te lo esperas.
