De Belgische beveiligingsonderzoeker Arne Swinnen heeft twee beveiligingslekken in Instagram ontdekt waardoor de wachtwoorden van gebruikers via een bruteforce-aanval achterhaald konden worden. Volgens Swinnen maakten de kwetsbaarheden het mogelijk om een groot aantal accounts over te nemen.

Het eerste probleem dat de onderzoeker ontdekte betrof een probleem in de bruteforcebescherming die moet voorkomen dat aanvallers achter elkaar allerlei wachtwoorden kunnen proberen om toegang tot een account te krijgen. Zo kon Swinnen vanaf één ip-adres duizenden wachtwoorden proberen en zelfs vanaf het account waarmee de bruteforce-aanval was uitgevoerd op het Instagram-account inloggen. De tweede kwetsbaarheid bevond zich in de webregistratie, die ook kwetsbaar voor bruteforce-aanvallen bleek te zijn.

Eind december van vorig jaar rapporteerde Swinnen het eerste probleem aan Facebook, gevolgd door het tweede probleem op 8 februari van dit jaar. Drie dagen later liet Facebook weten dat het tweede probleem was verholpen. Op 13 februari meldde Facebook dat ook het eerste probleem al was gepatcht en gaf de onderzoeker een beloning van 5.000 dollar. Op 4 april informeerde Swinnen dat de oplossing van Facebook voor het tweede probleem niet werkte. Ruim een maand later kwam Facebook met een nieuwe oplossing die het probleem wel verhielp. Daarop besloot de Belgische onderzoeker zijn bevindingen te publiceren.