Instagram corrige un error de restablecimiento de contraseña que expone los correos electrónicos y números de teléfono de los usuarios

Un fallo lógico crítico en el proceso de restablecimiento de contraseñas de Instagram expuso temporalmente direcciones de correo electrónico y números de teléfono completos asociados a cuentas de usuarios. El problema, detectado el 6 de junio de 2026, afectó incluso a perfiles de alto perfil, entre ellos el de Mark Zuckerberg y la modelo Georgina Rodríguez.

La vulnerabilidad se encontraba en la interfaz web utilizada para la recuperación de cuentas. Normalmente, Instagram muestra la información de contacto parcialmente ocultada durante el proceso de restablecimiento de contraseña, utilizando formatos como “m***@correo.com” para proteger la privacidad de los usuarios. Sin embargo, debido al error, la plataforma devolvía direcciones de correo electrónico y números de teléfono completos cuando se iniciaba una solicitud de recuperación para determinados nombres de usuario.

Los investigadores descubrieron que bastaba con iniciar un proceso estándar de restablecimiento de contraseña para que la respuesta mostrara información de contacto sin aplicar el enmascaramiento previsto. La falla llamó rápidamente la atención de la comunidad de seguridad y se volvió viral en redes sociales, donde numerosos usuarios compartieron capturas y pruebas del comportamiento anómalo del sistema.

El problema fue identificado inicialmente por investigadores que monitorean la infraestructura de recuperación de cuentas de Meta. Posteriormente, el investigador de seguridad conocido como @Scot0xo explicó públicamente que se trataba de un error lógico dentro del flujo de recuperación web y no de una filtración de bases de datos, una vulneración de servidores ni una exposición de credenciales de API.

Tras la difusión pública del hallazgo, Meta implementó una corrección de emergencia para eliminar el comportamiento defectuoso. Según la compañía, el problema fue resuelto rápidamente una vez detectado, evitando que continuara la exposición involuntaria de información personal de los usuarios.

Meta confirmó la corrección mediante una declaración oficial en la que indicó que había solucionado un problema que permitía a terceros obtener información relacionada con el proceso de recuperación de cuentas de algunos usuarios de Instagram. No obstante, el incidente pone de relieve la importancia de revisar continuamente los flujos de recuperación de cuentas, ya que errores lógicos aparentemente simples pueden derivar en la exposición de datos personales sensibles.

La publicación sobre la corrección de un fallo en el sistema de restablecimiento de contraseñas de Instagram que exponía correos electrónicos y números de teléfono fue publicada originalmente por Cyber Security News.

Consultar publicación original ↗