Invece dei “soliti” 90 giorni, oltre un anno. A scoprire il bug, proprio uno di loro, l’utente Saugat Pokharel, la cui segnalazione gli ha fruttato la somma di 6mila dollari
Instagram ha conservato foto e messaggi inviati tramite Direct Message anche se erano già stati eliminati dagli utenti. Normalmente il social impiega massimo 90 giorni per rimuovere il materiale dai propri server, ma questa volta ci è voluto più del dovuto, oltre un anno. La scoperta del bug è fruttata 6mila dollari al ricercatore di sicurezza Saugat Pokharel, che ha individuato il difetto scaricando i suoi dati da Instagram.
Dal 2018, infatti, la piattaforma ha reso possibile scaricare i propri dati dai server con un apposito strumento incluso. Questa regola è stata inserita da Menlo Park per conformarsi al Gdpr (General Data Protection Regulation) e dare agli utenti maggior controllo. Pokharel si è accorto così che i suoi dati contenevano foto e messaggi privati scambiati con altri utenti che lui aveva precedentemente eliminato. Pertanto, secondo le regole di Instagram, dovevano sparire dai server entro massimo 90 giorni. Il che però non è avvenuto e sono rimasti per oltre un anno parcheggiati lì.
Pokharel ha segnalato il bug a ottobre 2019 tramite il programma di bug bounty del social network ricevendo come ricompensa 6mila dollari. I programmatori di Instagram, nel frattempo, si sono messi all’opera per risolvere il problema. All’inizio di agosto Instagram ha comunicato che il bug è stato risolto e che tutti i dati eliminati dagli utenti saranno cancellati dai server rispettando i tempi massimi prestabiliti.
“Il ricercatore ha segnalato un problema in cui le immagini e i messaggi privati di Instagram, cancellati precedentemente dall’utente, sarebbero stati inclusi in una copia delle informazioni ottenibili nel momento in cui venisse usato il nostro strumento Scarica le tue informazioni su Instagram”, spiega un portavoce di Instagram a Wired. “Abbiamo risolto la cosa e non abbiamo riscontrato alcuna prova di abuso. Ringraziamo il ricercatore per avercela segnalata”.