CALIFORNIA - Notifikasi permintaan pengaturan ulang kata sandi (password reset) membanjiri kotak masuk sejumlah pengguna Instagram serentak pada Minggu (11/1/2026). Diduga, ada jutaan data pengguna Instagram bocor di dark web atau pasar gelap.

Fenomena ini bermula ketika jutaan pengguna melaporkan menerima email resmi dari Instagram yang meminta konfirmasi pengaturan ulang kata sandi, padahal mereka tidak pernah memintanya.

Insiden ini memaksa Instagram merilis pernyataan resmi pada Minggu malam waktu setempat, mencoba meredam kepanikan publik dengan narasi "gangguan teknis".

"Kami telah memperbaiki masalah yang memungkinkan pihak eksternal meminta email pengaturan ulang kata sandi untuk beberapa orang. Tidak ada pelanggaran pada sistem kami dan akun Instagram Anda aman," tulis manajemen Instagram melalui akun resmi mereka di platform X.

Perusahaan juga menginstruksikan pengguna untuk mengabaikan email tersebut dan memohon maaf atas kebingungan yang terjadi.

Kontradiksi Temuan: Jejak Digital di Pasar Gelap

Namun, pil penenang dari Instagram mendapat tantangan serius dari Malwarebytes, perusahaan perangkat lunak antivirus.

Dalam analisis tandingannya, Malwarebytes mengindikasikan bahwa gelombang email tersebut bukanlah glitch sistem semata, melainkan dampak ikutan dari dugaan kebocoran data yang jauh lebih masif.

Menurut laporan Malwarebytes, insiden ini berkaitan erat dengan kebocoran data yang mengekspos informasi sensitif dari 17,5 juta pengguna Instagram.

Data yang diduga bocor tersebut mencakup nama pengguna (usernames), alamat fisik rumah, nomor telepon, hingga alamat email.

Firma keamanan tersebut menyoroti bahwa data curian ini telah tersedia dan diperjualbelikan di dark web (situs gelap), siap disalahgunakan oleh penjahat siber untuk berbagai kejahatan digital, mulai phishing tertarget hingga pengambilalihan akun secara paksa (account takeover).

Malwarebytes menemukan indikasi ini saat melakukan pemindaian rutin di dark web dan mengaitkannya dengan potensi insiden paparan API (Application Programming Interface) Instagram yang terjadi pada tahun 2024 silam.

Logika Pasar dan Risiko Keamanan

Secara logika keamanan siber, lonjakan permintaan reset password sering kali merupakan taktik brute force atau upaya verifikasi yang dilakukan peretas untuk memvalidasi daftar email yang mereka beli dari pasar gelap.

Jika email valid, sistem Instagram akan mengirimkan tautan reset, yang kemudian memicu kepanikan pengguna.

Klaim Instagram bahwa "tidak ada pelanggaran sistem" bisa jadi benar secara teknis—dalam artian server mereka tidak dibobol hari ini—namun hal itu tidak menafikan kemungkinan bahwa data pengguna telah diambil (scraped) melalui celah keamanan di masa lalu dan kini dimanfaatkan pihak ketiga.

Pernyataan Meta yang menyebut "pihak eksternal" dapat memicu pengiriman email reset massal menunjukkan adanya celah pada mekanisme autentikasi mereka yang dapat dieksploitasi tanpa perlu masuk ke dalam akun korban.

Juru bicara Meta mengonfirmasi kepada media bahwa celah yang memungkinkan eksploitasi ini telah ditutup.

"Kami ingin meyakinkan semua orang bahwa tidak ada pelanggaran pada sistem kami dan akun Instagram tetap aman," ujar juru bicara Meta, seraya menambahkan bahwa email resmi Instagram hanya berasal dari domain @mail.instagram.com.

Langkah Mitigasi Pengguna

Di tengah ketidakpastian antara klaim korporasi dan temuan analis keamanan, posisi pengguna menjadi yang paling rentan. Mengingat rekam jejak induk perusahaan Instagram yang beberapa kali tersandung kasus privasi data, kewaspadaan mandiri menjadi benteng pertahanan terakhir.

Para pakar keamanan menyarankan pengguna untuk segera mengaktifkan autentikasi dua faktor (2FA) sebagai lapisan keamanan tambahan.

Selain itu, pengguna disarankan memeriksa daftar perangkat yang terhubung melalui fitur Accounts Center milik Meta untuk memastikan tidak ada akses ilegal. Langkah mengganti kata sandi secara berkala juga sangat direkomendasikan, terlepas dari klaim Instagram bahwa tindakan tersebut tidak diperlukan saat ini.

Insiden ini menjadi pengingat keras di awal tahun 2026 bahwa dalam ekosistem digital yang saling terhubung, data pribadi—seperti nomor telepon dan alamat rumah—adalah komoditas bernilai tinggi yang terus diburu, dan sering kali, pengguna menjadi pihak terakhir yang menyadari bahwa benteng pertahanan mereka telah runtuh.