Une énorme base de données d’utilisateurs Instagram vient de refaire surface, remettant des millions de comptes en danger plus d’un an après que la fuite initiale semblait oubliée. Environ 17,5 millions de profils Instagram sont concernés par cette nouvelle vague, repérée début janvier 2026 sur un forum de hackers bien connu.
Selon une alerte de l’éditeur de cybersécurité Malwarebytes, le responsable serait un pirate opérant sous le pseudonyme Solonik. Et même si l’affaire donne l’impression d’une nouvelle brèche, les experts sont formels : les données proviennent en réalité d’un incident survenu en 2024, lié à une API Instagram mal configurée que des acteurs malveillants avaient exploitée pendant plusieurs mois avant que Meta ne colmate la faille.
Une fuite ancienne… mais jamais vraiment disparue
À l’époque, les attaquants avaient pu aspirer discrètement une quantité massive d’informations publiques et semi-privées. La base de données avait ensuite disparu du dark Web, laissant croire que l’épisode était clos.
Sa réapparition en 2026 rappelle une réalité brutale : une fois que des données personnelles circulent, elles peuvent ressurgir à tout moment — parfois dans un contexte encore plus dangereux.
Un « kit de doxxing » particulièrement préoccupant
Ce qui rend cette fuite si grave, c’est le niveau de détail des informations exposées. On ne parle pas seulement de noms d’utilisateur :
- noms et prénoms complets
- adresses e-mail
- numéros de téléphone
- adresses postales physiques
Pour les cybercriminels, c’est un trésor. Ces données permettent de passer du spam de masse à des attaques ciblées extrêmement crédibles. Malwarebytes observe déjà une hausse d’arnaques où des escrocs se font passer pour le support d’Instagram afin d’extorquer des identifiants de connexion.
L’arnaque la plus sournoise : le faux reset… authentique
La technique la plus redoutable repose sur un détournement psychologique. Les pirates ne se contentent pas d’envoyer de faux e-mails :
ils déclenchent de véritables demandes de réinitialisation de mot de passe depuis les serveurs officiels d’Instagram.
Résultat :
- vous recevez un vrai e-mail provenant de @meta.com ou @instagram.com
- vous paniquez, pensant que quelqu’un tente d’accéder à votre compte
- dans ce moment de stress, vous êtes beaucoup plus vulnérable à un appel ou SMS de phishing qui suit.
C’est une attaque redoutablement efficace, car elle s’appuie sur des messages parfaitement légitimes.
Meta reste silencieux, le risque est mondial
Au 11 janvier 2026, Meta n’a toujours pas communiqué publiquement sur cette résurgence de données. Si les premiers impacts visibles se concentrent en Europe, le risque est global, surtout pour les utilisateurs qui réutilisent le même mot de passe sur plusieurs services sensibles (e-mail, banque, cloud).
Que faire immédiatement ?
Les spécialistes en sécurité sont unanimes :
- Changez votre mot de passe Instagram immédiatement
- Utilisez un mot de passe unique, jamais réemployé ailleurs
- Activez la double authentification, de préférence via une application (et non par SMS)
Cette affaire est un rappel brutal : corriger une faille ne fait pas disparaître les données déjà volées. Elles peuvent réapparaître des mois, voire des années plus tard — et frapper quand on s’y attend le moins.
