Telset.id – Jika belakangan ini kotak masuk e-mail Anda mendadak dibanjiri notifikasi permintaan reset password Instagram padahal Anda tidak memintanya, jangan buru-buru panik namun tetaplah waspada. Fenomena menjengkelkan ini rupanya bukan sekadar gangguan teknis biasa, melainkan indikasi kuat dari dampak kebocoran data (data breach) masif yang disinyalir menimpa sekitar 17,5 juta akun pengguna di seluruh dunia.
Kabar kurang sedap ini mencuat setelah perusahaan keamanan siber ternama, Malwarebytes, membeberkan temuannya. Melalui akun resmi mereka di platform X, Malwarebytes mengungkap bahwa belasan juta data pengguna Instagram tersebut telah bocor, tersebar, bahkan diperjualbelikan secara bebas di pasar gelap internet alias dark web.
Kasus ini menjadi peringatan keras bagi pengguna media sosial untuk lebih serius amankan data pribadi mereka di ranah digital. Meskipun pihak Instagram belum memberikan konfirmasi resmi secara mendetail, pola serangan yang terjadi mengindikasikan adanya celah keamanan yang berhasil dieksploitasi oleh pihak tidak bertanggung jawab.
Modus “Spam” Reset Password
Mungkin Anda bertanya-tanya, jika data bocor, mengapa yang muncul adalah e-mail permintaan ganti kata sandi? Di sinilah letak ironinya. Menurut analisis Malwarebytes, data yang bocor tersebut mencakup berbagai informasi sensitif seperti username, alamat e-mail, nomor telepon internasional, hingga User ID.
Namun, kabar baik di tengah situasi buruk ini adalah: password akun tidak ikut bocor. Karena tidak memiliki kunci akses utama alias kata sandi, para peretas (hacker) ini memutar otak dengan cara yang cukup primitif namun mengganggu.
Mereka memanfaatkan data e-mail atau username yang mereka dapatkan dari hasil curian tersebut, lalu memasukkannya ke laman login Instagram. Selanjutnya, mereka menekan tombol “Forgot Password” secara massal. Akibatnya, sistem Instagram secara otomatis mengirimkan e-mail tautan pemulihan ke alamat korban yang sah.
Baca Juga:
Taktik ini menciptakan kebingungan dan kepanikan. Malwarebytes memperingatkan bahwa meskipun peretas tidak bisa masuk ke akun Anda hanya dengan data tersebut, situasi ini membuka peluang bagi pelaku kejahatan siber untuk melancarkan aksi penipuan lanjutan. Jika Anda panik, Anda mungkin menjadi target empuk bagi mereka yang ingin mengambil alih akun kena hack.
Potensi ancaman yang mengintai meliputi serangan manipulasi atau impersonation attack, di mana peretas berpura-pura menjadi korban untuk menipu kerabat dekat. Selain itu, risiko kampanye phishing hingga pencurian kredensial akun menjadi jauh lebih tinggi ketika data kontak pengguna sudah berada di tangan kriminal.
Jejak Kebocoran API
Menelusuri asal muasal kebocoran ini, data yang beredar diduga kuat berasal dari celah pada API (Application Programming Interface) Instagram. Malwarebytes mencatat bahwa insiden kebocoran awal kemungkinan terjadi pada tahun 2024. Namun, dataset tersebut baru dipublikasikan ulang dan diklaim oleh seorang oknum di dark web pada 7 Januari 2026.
Oknum tersebut mengklaim memegang lebih dari 17 juta data pengguna dalam format dokumen “JSON” dan “TXT”. Struktur data yang ditampilkan terlihat sangat rapi dan konsisten, menyerupai respons mentah (raw) dari sistem API. Hal ini memperkuat dugaan bahwa data tersebut dikeruk (scraped) melalui celah integrasi pihak ketiga atau konfigurasi sistem yang tidak aman sebelum tahun 2025.
Bagi pengguna yang merasa terdampak atau khawatir, sangat disarankan untuk segera meninjau pengaturan keamanan. Mengaktifkan fitur verifikasi dua langkah adalah benteng pertahanan terbaik saat ini. Selain itu, mengetahui cara pulihkan akun sejak dini bisa menjadi langkah preventif yang krusial jika skenario terburuk terjadi.
