Kementerian Komunikasi dan Digital meningkatkan intensitas pemeriksaan terhadap Instagram menyusul laporan dugaan kebocoran data yang disebut berdampak pada sekitar 17,5 juta akun pengguna di berbagai negara. Pemeriksaan ini dilakukan untuk memastikan keamanan data pribadi pengguna serta menilai kepatuhan penyelenggara platform digital terhadap regulasi yang berlaku di Indonesia.
Isu ini mencuat setelah sejumlah pengguna Instagram melaporkan menerima e-mail pengaturan ulang kata sandi secara tiba-tiba. Pesan tersebut diterima tanpa adanya permintaan dari pemilik akun. Tampilan e-mail yang menyerupai notifikasi resmi Instagram membuat sebagian pengguna khawatir akun mereka telah disusupi atau data pribadinya bocor.
Laporan awal mengenai kejadian ini berasal dari perusahaan keamanan siber Malwarebytes. Dalam analisisnya, Malwarebytes mencatat lonjakan pengiriman e-mail reset password yang terjadi secara massal pada awal Januari 2026. Dari hasil penelusuran sementara, jumlah akun yang diduga terdampak mencapai sekitar 17,5 juta akun secara global, termasuk akun milik pengguna di Indonesia.
Menanggapi laporan tersebut, Kementerian Komunikasi dan Digital memanggil Meta sebagai perusahaan induk Instagram untuk memberikan klarifikasi. Pemerintah menilai langkah ini penting agar informasi yang beredar di masyarakat dapat diluruskan berdasarkan fakta teknis dan hasil evaluasi resmi.
Direktur Jenderal Pengawasan Ruang Digital Kemkomdigi, Alexander Sabar, menjelaskan bahwa pertemuan klarifikasi dengan Meta telah dilaksanakan pada 14 Januari 2026. Dalam pertemuan tersebut, Meta diminta memaparkan penjelasan teknis terkait mekanisme reset password Instagram, potensi celah keamanan, serta langkah-langkah yang telah diambil untuk mencegah penyalahgunaan sistem.
Menurut Alexander, Meta menyampaikan bahwa fitur reset password Instagram merupakan mekanisme internal resmi yang dirancang untuk melindungi akun pengguna. Proses ini hanya dapat dilakukan oleh pemilik akun melalui alamat e-mail yang terdaftar. Meta menegaskan bahwa mekanisme tersebut tidak membuka akses kata sandi kepada pihak lain.
Meta juga menyatakan tidak ditemukan indikasi kebocoran pada sistem inti Instagram. Kata sandi pengguna diklaim tetap aman dan tidak dapat diakses oleh pihak eksternal. Meski demikian, Alexander menegaskan bahwa Kemkomdigi masih melakukan pendalaman lanjutan guna memastikan seluruh penjelasan tersebut sesuai dengan hasil pemeriksaan teknis.
Pemanggilan Meta dilakukan berdasarkan kewenangan yang diatur dalam Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. Regulasi ini mengatur kewajiban penyelenggara sistem elektronik untuk menjaga keamanan sistem, melindungi data pribadi pengguna, serta memberikan klarifikasi kepada pemerintah apabila terjadi insiden yang berdampak luas.
Selain memberikan penjelasan kepada pemerintah, Meta juga menyampaikan klarifikasi terbuka kepada publik. Pihak Instagram menyatakan tidak terjadi pelanggaran terhadap sistem inti mereka. Meta mengakui adanya masalah dari pihak eksternal yang memungkinkan pengiriman e-mail reset password palsu ke sejumlah pengguna.
Instagram menyebut bahwa masalah tersebut telah diperbaiki. Meta memastikan akun pengguna tetap aman dan meminta pengguna untuk mengabaikan e-mail reset password yang tidak pernah diminta. Perusahaan juga menyampaikan permohonan maaf atas kebingungan dan ketidaknyamanan yang dialami pengguna akibat insiden ini.
Temuan Meta tersebut sejalan dengan analisis Malwarebytes. Perusahaan keamanan siber ini menduga insiden tidak berasal dari peretasan langsung terhadap sistem Instagram. Mereka menilai sumber masalah kemungkinan berkaitan dengan kebocoran antarmuka pemrograman aplikasi atau API Instagram yang terjadi pada 2024.
Dataset lama yang diduga berasal dari celah API tersebut disebut kembali beredar setelah dipublikasikan ulang oleh pihak tertentu di dark web pada awal Januari 2026. Dataset tersebut diklaim berisi lebih dari 17 juta data pengguna Instagram dari berbagai negara dalam format dokumen JSON dan TXT.
Contoh data yang dianalisis menunjukkan informasi mentah seperti nama pengguna, alamat e-mail, nomor telepon internasional, serta user ID. Struktur data yang rapi dan konsisten dinilai menyerupai respons API, sehingga memperkuat dugaan bahwa data dikumpulkan melalui celah API, integrasi pihak ketiga, atau konfigurasi sistem yang tidak aman sebelum 2025. Namun, tidak ditemukan bukti bahwa kata sandi pengguna ikut bocor dalam insiden ini.
Walaupun tidak ditemukan kebocoran kata sandi, para analis keamanan menilai risiko bagi pengguna tetap ada. Lonjakan e-mail reset password palsu dinilai dapat dimanfaatkan pelaku kejahatan siber untuk melancarkan serangan phising. Dalam modus ini, pelaku berusaha mengelabui pengguna agar mengeklik tautan berbahaya atau memasukkan informasi pribadi ke situs palsu.
Phising merupakan metode penipuan digital yang umum terjadi. Pelaku biasanya menyamar sebagai layanan resmi dengan tampilan pesan yang meyakinkan. Jika pengguna tidak teliti, data pribadi yang dimasukkan dapat disalahgunakan atau akun media sosial diambil alih.
Kemkomdigi mengimbau masyarakat agar tetap tenang dan tidak mudah terpengaruh oleh informasi yang belum terverifikasi. Pemerintah juga menekankan pentingnya literasi digital dan kewaspadaan dalam menjaga keamanan akun daring.
Pengguna Instagram disarankan mengambil langkah pencegahan tambahan. Pertama, mengaktifkan fitur otentikasi dua langkah atau two-factor authentication sebagai lapisan keamanan tambahan. Kedua, rutin memeriksa daftar perangkat yang pernah masuk ke akun Instagram untuk memastikan tidak ada aktivitas mencurigakan. Ketiga, mengabaikan e-mail reset password yang tidak pernah diminta dan tidak mengeklik tautan yang meragukan.
Hingga saat ini, proses pemeriksaan dan klarifikasi antara Kemkomdigi dan Meta masih berlangsung. Pemerintah menyatakan akan menyampaikan hasil evaluasi lanjutan setelah pendalaman selesai dilakukan. Kasus ini menjadi pengingat bahwa keamanan data digital memerlukan pengawasan berkelanjutan dari pemerintah, tanggung jawab platform digital, serta kesadaran pengguna dalam menjaga data pribadi di ruang digital.