La scoperta

Il ricercatore di sicurezza Jatin Banga ha scoperto una vulnerabilità lato server nell'infrastruttura di Instagram che consentiva l'accesso non autorizzato a contenuti privati. Il difetto, corretto silenziosamente da Meta nell'ottobre 2025, è stato reso pubblico solo nel gennaio 2026.

Come funzionava l'attacco

La vulnerabilità risiedeva nel modo in cui i server di Instagram gestivano le richieste per i contenuti multimediali. Un attaccante poteva sfruttare questa debolezza per bypassare completamente i controlli di accesso, ottenendo la possibilità di:

  • Visualizzare foto pubblicate su account privati
  • Leggere le didascalie associate ai post
  • Accedere a contenuti senza alcuna relazione con il proprietario dell'account

L'aspetto più grave era la totale assenza di requisiti di autenticazione. Non era necessario effettuare il login, né essere follower dell'account target. Qualsiasi utente, anche completamente anonimo, poteva potenzialmente accedere a materiale privato.

Impatto sulla privacy

La gravità di questa vulnerabilità deriva dalla natura stessa degli account privati su Instagram. Gli utenti che impostano il proprio profilo come privato lo fanno con l'aspettativa che solo i follower approvati possano vedere i loro contenuti. Un difetto di questo tipo compromette completamente tale protezione.

Non sono stati divulgati dettagli su eventuali exploit della vulnerabilità prima della patch, né sul numero di account che potrebbero essere stati esposti.

La risposta di Meta

Meta ha applicato una correzione nell'ottobre 2025, senza rilasciare alcuna comunicazione pubblica. Questa pratica, nota come "silent patching", è comune tra le grandi piattaforme quando si tratta di vulnerabilità già risolte. La divulgazione responsabile del ricercatore è avvenuta solo dopo aver confermato che la correzione era stata implementata.

Considerazioni tecniche

Le vulnerabilità lato server che consentono il bypass dell'autenticazione appartengono alle categorie più critiche della sicurezza delle applicazioni web. In questo caso specifico, il problema risiedeva probabilmente nella logica di autorizzazione lato server, dove i controlli dei permessi di visibilità non venivano applicati correttamente per determinati endpoint o tipi di richiesta.

Questo tipo di difetto sottolinea l'importanza di implementare controlli di accesso su più livelli e di sottoporre regolarmente l'infrastruttura a rigorosi test di sicurezza.