Cette « attaque » repose sur l'outil Business Suite de Facebook, accessible à tous les comptes professionnels. L’utilisation du bug ne demandait aucune compétence, l’information vous tombait directement dans le bec.
Il suffisait d’envoyer un message privé (DM) à un utilisateur Instagram pour que s’affichent des données personnelles comme son adresse email et sa date d’anniversaire. Facebook confirme la situation à The Verge.
La société précise avoir corrigé la brèche et que ce bug n’était actif que depuis le mois d’octobre. Elle affirme n’avoir aucune preuve d’une utilisation malveillante, mais n’indique pas le nombre d’utilisateurs concernés.
