En los últimos días, muchos usuarios de Instagram en España y en el resto de Europa han empezado a notar algo raro en su bandeja de entrada: correos para resetear la contraseña que ellos nunca han pedido. Para algunos ha sido un simple susto; para otros, la prueba de que algo serio estaba pasando con la seguridad de la red social.
En paralelo, una importante firma de ciberseguridad ha hecho público que se habría filtrado información de 17,5 millones de cuentas de Instagram, cuyos datos personales estarían circulando en foros de la dark web. Mientras tanto, Instagram niega haber sido hackeada y habla solo de un “problema de software” con los correos de restablecimiento. Entre versiones cruzadas, toca aclarar qué se sabe, qué riesgos reales hay y cómo deberías actuar.
Qué se ha filtrado y quién lo ha descubierto
Las primeras alarmas saltaron cuando usuarios de todo el mundo empezaron a compartir en redes sociales que recibían correos masivos para cambiar su contraseña de Instagram sin haber solicitado nada. Algunos aseguraban que estos emails llegaban varias veces al día, algo que iba mucho más allá de un despiste puntual con el inicio de sesión.
En ese contexto, la empresa de ciberseguridad Malwarebytes publicó un informe detallando una filtración masiva que afectaría a aproximadamente 17,5 millones de cuentas de la plataforma. Según su investigación, un grupo de ciberdelincuentes habría robado un conjunto de datos muy amplio con información personal de usuarios de Instagram.
De acuerdo con Malwarebytes y otros analistas de seguridad, en esa base de datos filtrada se incluyen nombres de usuario, direcciones de correo electrónico, números de teléfono y direcciones físicas. No se trataría solo de datos básicos de perfil, sino de un “kit de doxing” con potencial para identificar a personas concretas, algo especialmente delicado en el caso de figuras públicas, influencers o cuentas corporativas europeas.
Expertos que han seguido el caso señalan que el paquete de datos se habría publicado en BreachForums y otros mercados clandestinos, donde se vende en lotes segmentados por país y número de seguidores. Esto significa que, en teoría, también habría registros de usuarios de España y otros países de la UE organizados de forma específica.
La versión de Malwarebytes frente a la versión de Instagram
La investigación de Malwarebytes sostiene que la filtración no es un simple scraping superficial de perfiles públicos, sino el resultado de un acceso no autorizado a un gran volumen de datos, probablemente originado en 2024 y relacionado con el uso o abuso de APIs de Instagram. En algunos foros se menciona incluso a actores concretos que habrían compartido el lote original de datos, ofertándolo en formatos JSON y TXT.
En esta narrativa, los ciberdelincuentes habrían utilizado la información filtrada para lanzar campañas de phishing muy afinadas, enviando correos que imitan los mensajes legítimos de recuperación de contraseña de Instagram. Al conocer el correo, el nombre de usuario e incluso la localización aproximada de la víctima, los atacantes pueden construir mensajes que suenan creíbles y difíciles de distinguir de los oficiales.
Instagram, por su parte, ha salido al paso negando que se haya producido un hackeo a sus sistemas. La compañía, propiedad de Meta, admite que existía un fallo que permitía a un tercero solicitar correos de restablecimiento de contraseña para algunas cuentas, pero insiste en que no se ha accedido a los servidores ni se han filtrado contraseñas.
En su comunicado, la red social explica que se trató de un “problema de software” ya solucionado, pide disculpas por las molestias y recalca que “no se produjo ninguna vulneración” y que las cuentas “están seguras”. Según esta versión, los emails que han desatado la alarma serían consecuencia de ese bug y no de una intrusión en la plataforma.
La discrepancia entre ambas versiones es clave: mientras que Malwarebytes habla de 17,5 millones de perfiles con datos personales expuestos y vendidos en la dark web, Instagram intenta acotar el incidente a un error en el proceso de envío de correos de recuperación. De momento, Meta no ha publicado un informe técnico detallado que despeje por completo las dudas, y la sensación de incertidumbre entre parte de los usuarios europeos sigue ahí.
Qué datos estarían en juego y por qué es tan delicado
Más allá del debate sobre el origen exacto del incidente, lo que preocupa a los especialistas es la naturaleza de la información filtrada. Según los análisis que se han hecho públicos, el conjunto de datos incluiría, en muchos casos, los siguientes elementos:
- Nombre de usuario de Instagram, tal y como aparece en la plataforma.
- Dirección de correo electrónico asociada a la cuenta, usada para registro y recuperación.
- Número de teléfono vinculado al perfil, a menudo necesario para la verificación.
- Dirección o ubicación física, al menos de forma parcial.
Además, el hecho de que las contraseñas no figuren en el paquete de datos no significa que las cuentas estén a salvo por completo. Con la información disponible, los atacantes pueden explotar el mecanismo de restablecimiento de contraseña, probar combinaciones reutilizadas en otros servicios o enviar correos extremadamente convincentes para que sea el propio usuario el que entregue sus credenciales.
En los foros donde se han localizado estos datos, algunos vendedores presumen de ofrecer listas ordenadas por país, idioma o número de seguidores, lo que permitiría dirigir ataques específicos a cuentas con alto impacto. Influencers europeos, pequeñas empresas locales que dependen de Instagram para ventas o medios de comunicación con gran alcance se convierten así en objetivos prioritarios.
La oleada de correos de restablecimiento y el papel del phishing
Una de las consecuencias más visibles de todo este incidente ha sido la avalancha de correos electrónicos de restablecimiento de contraseña que muchos usuarios han recibido sin haberla solicitado. Estas notificaciones, que suelen llegar desde la dirección oficial de Instagram, han generado una gran confusión.
En primer lugar, el propio fallo reconocido por la plataforma habría permitido que un tercero disparara de forma automatizada estas solicitudes, provocando que millones de personas vieran un email legítimo diciendo que alguien quería cambiar su clave. Eso, por sí mismo, ya es inquietante, aunque el usuario ignore el mensaje.
El problema es que ese ruido ha sido aprovechado para mezclar en medio de esos avisos reales otros correos falsos, con enlaces hacia páginas que imitan el inicio de sesión de Instagram. Ahí es donde entra en juego el phishing de toda la vida: si el usuario hace clic y escribe su contraseña, se la entrega directamente al atacante.
Los ciberdelincuentes, conociendo ya el correo asociado a la cuenta, el nombre de usuario e incluso el país o la ciudad, pueden redactar mensajes muy creíbles: “Hemos detectado un acceso sospechoso a tu cuenta desde España” o “Tu perfil ha sido denunciado por infringir nuestras normas, verifica tu identidad aquí”. Este tipo de textos, acompañados de logotipos y diseños calcados a los oficiales, complican mucho distinguir lo real de lo falso.
En España y otros países europeos, entidades de ciberseguridad llevan tiempo avisando de que las redes sociales se han convertido en uno de los principales ganchos para fraudes en línea. Un incidente de este tamaño, con millones de correos y teléfonos expuestos, es un caldo de cultivo perfecto para una nueva oleada de ataques.
Cómo comprobar si tu correo o cuenta están afectados
Ante el volumen de información que se maneja, es lógico que te preguntes si tu propio correo aparece en alguna de estas listas. Para salir de dudas, hay varias opciones que permiten consultar si tu dirección ha aparecido en filtraciones conocidas.
Por un lado, servicios consolidados como haveibeenpwned.com recopilan desde hace años bases de datos filtradas y permiten comprobar, introduciendo tu correo electrónico, si se ha visto comprometido en algún incidente. Si lo utilizas, podrás ver en qué brechas anteriores ha aparecido tu dirección y si entre ellas figura una relacionada con Instagram.
Además, Malwarebytes ha habilitado su propia herramienta de comprobación, enfocada precisamente a esta filtración concreta y a otros incidentes recientes. El proceso suele ser sencillo: introduces el email vinculado a tu cuenta de Instagram, recibes un código de verificación en esa dirección y lo introduces en la web para validar que eres el titular.
Una vez completado el paso de verificación, la herramienta te indica si tu información personal se encuentra en alguna de las bases de datos analizadas. En caso afirmativo, suele detallar en qué incidentes ha aparecido y qué tipo de datos se han expuesto: correo, teléfono, direcciones o información parcial del perfil.
Conviene recordar que el hecho de que tu correo haya aparecido en una filtración no significa automáticamente que alguien esté dentro de tu cuenta ahora mismo, pero sí implica que tus datos circulan por canales que no controlas y que debes reforzar tus medidas de seguridad de inmediato.
Qué hacer si recibes correos para cambiar la contraseña
Si estás recibiendo estos correos de “Reset your password” o avisos en español indicándote que se ha solicitado restablecer la contraseña de tu cuenta, lo primero es mantener la calma y aplicar unas cuantas reglas básicas.
La recomendación general de los expertos es tajante: no pulses nunca en los enlaces incluidos en estos emails, aunque el mensaje parezca perfectamente legítimo y venga de una dirección reconocible. El correo puede ser real o falso, pero el riesgo de que te lleve a un sitio malicioso es demasiado alto.
Si quieres cambiar la contraseña por precaución, hazlo siempre desde la aplicación oficial o desde la web de Instagram escribiendo tú mismo la dirección en el navegador. Nunca accedas a tu cuenta a través de un enlace que te llegue por correo o SMS, por mucho que el texto sea convincente.
En caso de duda sobre si el mail es oficial, dentro de la app de Instagram puedes consultar la sección “Correos electrónicos de Instagram”, en el apartado de seguridad. Ahí verás un historial de los mensajes que la plataforma asegura haber enviado realmente a tu dirección, lo que te permite descartar comunicaciones fraudulentas.
Si después de todo tienes la sensación de que alguien ha intentado entrar en tu perfil, conviene también revisar los dispositivos con sesión iniciada y cerrar cualquier acceso que no reconozcas, algo que se puede hacer directamente desde el menú de seguridad de la cuenta.
Cómo cambiar tu contraseña desde la app o la web
Actualizar la contraseña es una de las primeras medidas que deberías tomar si tu correo aparece en alguna filtración o si has recibido correos sospechosos. La clave está en hacer este cambio únicamente desde los ajustes oficiales de Instagram, sin pasar por enlaces externos.
En el móvil, el proceso es bastante directo. Abre la app, entra en tu perfil y toca el icono de las tres líneas en la esquina (en función de la versión, puede estar arriba o abajo). Desde ahí, accede al Centro de cuentas, la sección donde se gestionan los perfiles de los servicios de Meta, como Facebook o Instagram.
Una vez dentro del Centro de cuentas, asegúrate de que tienes seleccionada tu cuenta de Instagram y entra en el apartado Contraseña y seguridad. Allí verás la opción Cambiar contraseña, que es el lugar correcto para modificarla sin riesgos.
En la versión web, desde el ordenador, el camino es muy similar. Tienes que hacer clic en el menú de configuración, localizar el Centro de cuentas y, dentro de él, ir a la sección de Contraseña y seguridad. Desde ahí, elige Cambiar contraseña y sigue las instrucciones que te pida la plataforma.
Es importante que la nueva clave sea larga, robusta y única: combina letras mayúsculas y minúsculas, números y símbolos, y evita reutilizar contraseñas que ya emplees en otros servicios. Si te cuesta gestionarlas, un gestor de contraseñas fiable puede ayudarte a no tener que recordarlas todas de memoria.
Autenticación en dos pasos y otras medidas de protección
Cambiar la contraseña es un paso fundamental, pero no el único. La autenticación en dos pasos (2FA) se ha convertido casi en obligatoria para quienes quieren mantener sus redes sociales algo más a salvo en un contexto de filtraciones constantes.
En Instagram, puedes activar la verificación en dos pasos desde el mismo menú de Contraseña y seguridad. La recomendación de muchos especialistas es evitar, si es posible, la verificación vía SMS, ya que los mensajes de texto pueden ser interceptados o suplantados, y optar por aplicaciones de autenticación como Google Authenticator, Authy, Bitwarden u opciones similares.
Con la 2FA activada, aunque alguien consiga tu contraseña por un descuido o por un engaño, seguirá necesitando un código temporal adicional para entrar en tu cuenta. Este código se genera en tu móvil y cambia cada pocos segundos, complicando mucho más la vida a los atacantes.
Otra medida muy útil es revisar la lista de dispositivos con sesión iniciada en tu cuenta. En la sección de seguridad encontrarás el apartado donde se muestran todos los móviles, ordenadores y tablets que tienen acceso actualmente. Si ves alguno que no reconoces o que ya no usas, puedes cerrar sesión de forma remota.
Por último, conviene echar un vistazo a las aplicaciones de terceros que has vinculado a tu cuenta de Instagram. Herramientas para programar publicaciones, apps de filtros o servicios de estadísticas pueden convertirse en eslabones débiles si no están bien mantenidos. Revoca el acceso a aquellas que no necesites o que no te ofrezcan confianza.
En un escenario como el actual, con filtraciones que afectan a millones de perfiles y campañas de phishing cada vez más elaboradas, la seguridad de tu cuenta de Instagram depende tanto de lo que haga la plataforma como de las decisiones que tú tomes en el día a día: desconfiar de enlaces sospechosos, usar contraseñas fuertes, activar la verificación en dos pasos y vigilar de vez en cuando en qué sitios han acabado tus datos son pequeñas rutinas que pueden ahorrarte muchos problemas más adelante.
