Kementerian Komunikasi dan Digital melakukan pemeriksaan menyeluruh terhadap Instagram setelah mencuat dugaan kebocoran data yang dikaitkan dengan sekitar 17,5 juta akun pengguna di berbagai negara. Pemeriksaan ini dilakukan untuk memastikan tidak terjadi pelanggaran terhadap perlindungan data pribadi serta menjaga kepercayaan publik terhadap layanan digital yang digunakan secara luas oleh masyarakat Indonesia.
Isu ini mencuat pada awal Januari 2026 ketika banyak pengguna Instagram melaporkan menerima e-mail pengaturan ulang kata sandi secara tiba-tiba. E-mail tersebut diterima tanpa adanya permintaan dari pemilik akun. Tampilan pesan yang menyerupai notifikasi resmi Instagram membuat sebagian pengguna khawatir akun mereka telah diretas atau data pribadinya bocor.
Temuan awal terkait fenomena ini disampaikan oleh perusahaan keamanan siber Malwarebytes. Dalam laporannya, Malwarebytes mencatat lonjakan pengiriman e-mail reset password yang menyasar jutaan akun Instagram secara global. Berdasarkan analisis awal, jumlah akun yang diduga terdampak mencapai sekitar 17,5 juta, termasuk akun milik pengguna di Indonesia.
Menindaklanjuti laporan tersebut, Kementerian Komunikasi dan Digital memanggil Meta sebagai perusahaan induk Instagram. Pemerintah meminta klarifikasi resmi terkait sumber masalah serta langkah-langkah yang telah diambil untuk mencegah risiko terhadap pengguna.
Direktur Jenderal Pengawasan Ruang Digital Kemkomdigi, Alexander Sabar, menjelaskan bahwa pertemuan klarifikasi dengan Meta telah dilaksanakan pada 14 Januari 2026. Dalam pertemuan itu, pemerintah meminta penjelasan teknis mengenai mekanisme reset password, sistem keamanan data, serta potensi celah yang memungkinkan terjadinya pengiriman e-mail palsu.
Menurut Alexander, Meta menjelaskan bahwa fitur reset password Instagram merupakan mekanisme internal resmi yang dirancang untuk melindungi akun pengguna. Proses tersebut hanya dapat dilakukan oleh pemilik akun melalui alamat e-mail yang terdaftar dan tidak membuka akses kata sandi kepada pihak lain.
Meta juga menegaskan bahwa tidak ditemukan indikasi kebocoran pada sistem inti Instagram. Kata sandi pengguna diklaim tetap aman dan tidak dapat diakses oleh pihak eksternal. Meski demikian, Alexander menyampaikan bahwa Kemkomdigi masih melakukan pendalaman lanjutan untuk memastikan seluruh penjelasan tersebut sesuai dengan hasil evaluasi teknis.
Pemanggilan Meta dilakukan berdasarkan Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. Regulasi ini mengatur kewajiban penyelenggara sistem elektronik dalam menjaga keamanan sistem, melindungi data pribadi pengguna, serta memberikan klarifikasi kepada pemerintah apabila terjadi insiden yang berdampak luas.
Di sisi lain, Meta juga menyampaikan pernyataan kepada publik. Pihak Instagram menyatakan bahwa tidak terjadi pelanggaran pada sistem inti mereka. Meta mengakui adanya masalah dari pihak eksternal yang memungkinkan pengiriman e-mail reset password palsu ke sejumlah pengguna.
Instagram menyebut bahwa masalah tersebut telah diperbaiki dan memastikan akun pengguna tetap aman. Meta juga meminta pengguna untuk mengabaikan e-mail reset password yang tidak pernah diminta serta menyampaikan permohonan maaf atas ketidaknyamanan yang timbul akibat insiden ini.
Penjelasan Meta tersebut sejalan dengan analisis Malwarebytes. Perusahaan keamanan siber ini menduga insiden tidak berasal dari peretasan langsung terhadap sistem Instagram. Mereka menilai sumber masalah kemungkinan terkait kebocoran antarmuka pemrograman aplikasi atau API Instagram yang terjadi pada 2024.
Dataset lama yang diduga berasal dari celah API tersebut disebut kembali beredar setelah dipublikasikan ulang oleh pihak tertentu di dark web pada awal Januari 2026. Dataset tersebut diklaim berisi lebih dari 17 juta data pengguna Instagram dari berbagai negara, dengan format dokumen JSON dan TXT.
Contoh data yang dianalisis menunjukkan informasi mentah seperti nama pengguna, alamat e-mail, nomor telepon internasional, serta user ID. Struktur data yang rapi dan konsisten dinilai menyerupai respons API, sehingga memperkuat dugaan bahwa data dikumpulkan melalui celah API, integrasi pihak ketiga, atau konfigurasi sistem yang tidak aman sebelum 2025. Namun, tidak ditemukan bukti bahwa kata sandi pengguna ikut bocor.
Walaupun tidak ada kebocoran kata sandi, para analis keamanan menilai risiko bagi pengguna tetap ada. Lonjakan e-mail reset password palsu dinilai dapat dimanfaatkan pelaku kejahatan siber untuk melakukan serangan phising. Dalam modus ini, pelaku berupaya mengelabui pengguna agar mengeklik tautan berbahaya atau memasukkan informasi pribadi ke situs palsu.
Phising merupakan metode penipuan digital yang kerap terjadi. Pelaku biasanya menyamar sebagai layanan resmi dan mengirim pesan yang tampak meyakinkan. Jika pengguna lengah, data pribadi yang dimasukkan dapat disalahgunakan atau akun media sosial diambil alih.
Kemkomdigi mengimbau masyarakat agar tetap tenang dan tidak mudah terpengaruh oleh informasi yang belum terverifikasi. Pemerintah juga menekankan pentingnya kewaspadaan dan literasi digital dalam menggunakan layanan daring.
Pengguna Instagram disarankan mengambil beberapa langkah pencegahan. Pertama, mengaktifkan fitur otentikasi dua langkah atau two-factor authentication untuk menambah lapisan keamanan. Kedua, rutin memeriksa daftar perangkat yang pernah masuk ke akun Instagram guna memastikan tidak ada aktivitas mencurigakan. Ketiga, mengabaikan e-mail reset password yang tidak pernah diminta dan tidak mengeklik tautan yang meragukan.
Hingga kini, proses pemeriksaan dan klarifikasi antara Kemkomdigi dan Meta masih berlangsung. Pemerintah menyatakan akan menyampaikan hasil evaluasi lanjutan setelah pendalaman selesai dilakukan. Kasus ini menjadi pengingat bahwa keamanan data digital membutuhkan pengawasan aktif dari pemerintah, tanggung jawab platform, serta kesadaran pengguna dalam menjaga data pribadi di ruang digital.