Facebook heeft een beveiligingslek in Instagram gedicht waardoor kwaadwillenden toegang tot privéfoto's en andere informatie van afgeschermde profielen konden krijgen. De kwetsbaarheid werd door Christian Lopez Martin ontdekt. De populaire foto-app bleek kwetsbaar voor Cross-site request forgery (CSRF).

Hierdoor is het voor een aanvaller mogelijk om handelingen vanuit de browser van de gebruiker uit te voeren. In het geval van Instagram konden afgeschermde profielen openbaar worden gemaakt, waarna privéfoto's en andere informatie voor iedereen toegankelijk waren. Facebook werd op 22 augustus vorig jaar over het probleem ingelicht en publiceerde op 6 september een eerste fix.

Tien dagen later ontdekte Martin dat de oplossing van de ontwikkelaars omzeild kon worden. Dit leidde tot een tweede update, maar ook die bleek niet goed te werken. Op 4 februari van dit jaar lukte het de ontwikkelaars eindelijk om het lek definitief te dichten en besloot Martin zijn bevindingen te publiceren. Naast een beloning voor zijn bugmelding is hij ook in de Hall of Fame van Facebook opgenomen.