È quello che è successo a Instagram, dove un difetto temporaneo ha riguardato uno strumento che usano tutti: il recupero della password.
Il problema si è manifestato nella procedura di reimpostazione della password di Instagram. Inserendo un nome utente nell’apposita schermata, l’app restituisce normalmente l’elenco dei metodi di recupero collegati all’account, cioè l’indirizzo e-mail e il numero di telefono. Per ovvie ragioni di privacy questi dati vengono mostrati in forma offuscata, con gran parte dei caratteri sostituiti da asterischi: si intravede l’iniziale dell’indirizzo o le ultime cifre del numero, mai il dato completo. Per alcune ore, però, proprio quel meccanismo di mascheramento ha smesso di funzionare.
Il risultato è che, in quella finestra temporale, l’elenco delle opzioni di recupero compariva con e-mail e numeri di telefono interamente visibili. Chiunque conoscesse lo username di un profilo poteva quindi leggerne i recapiti senza alcuna autenticazione aggiuntiva, semplicemente sfruttando una schermata pensata per ben altro scopo. La falla non richiedeva competenze tecniche né strumenti particolari, il che spiega la rapidità con cui la notizia si è diffusa.
Cosa è successo su Instagram
A dare visibilità al caso sono stati gli screenshot circolati il 6 giugno 2026 sui social network. In diversi post comparivano la pagina di login di Mark Zuckerberg, insieme all’indirizzo e-mail e al numero di telefono associati al suo account: un dettaglio che ha trasformato un bug tecnico in un episodio dalla forte eco mediatica.
Cosa è successo su Instagram-melablog.it
Secondo quanto riportato dalla testata Hackread, il numero uno di Meta è stato effettivamente tra i profili esposti. Il canale International Cyber Digest ha aggiunto un ulteriore tassello, segnalando che la stessa vulnerabilità avrebbe permesso di collegare a Kylian Mbappé un account TikTok in precedenza non riconducibile con certezza al calciatore.
Sul piano tecnico, le prime analisi indicano come causa un errore di logica nel codice della funzione di recupero, non un attacco esterno. Allo stato attuale non ci sono indizi di intrusioni nei server di Meta, e l’azienda ha dichiarato di aver corretto la vulnerabilità nel giro di poche ore, escludendo una fuoriuscita sistemica di dati. Resta però un margine di incertezza non trascurabile: non si può escludere che, oltre ai profili noti finiti sotto i riflettori, siano stati consultati anche i recapiti di utenti comuni. Quante persone siano state realmente interessate, dalle informazioni disponibili, non è dato sapere.
Per il pubblico italiano vale la pena ricordare il contesto normativo in cui un episodio del genere si inserisce. In Europa il GDPR impone ai titolari del trattamento di notificare le violazioni di dati personali all’autorità competente — in Italia il Garante per la protezione dei dati personali — entro 72 ore dalla scoperta, quando ci sia un rischio per i diritti degli interessati. Un recapito telefonico o un indirizzo e-mail, anche presi singolarmente, rientrano a pieno titolo tra i dati tutelati, soprattutto perché sono spesso la chiave per tentativi di phishing mirato o di SIM swapping. La vicenda, al di là dei nomi celebri coinvolti, riporta l’attenzione su quanto siano sensibili anche le porzioni apparentemente innocue del profilo di un account.
