Este verano, los usuarios de Instagram se quejaron masivamente del hackeo de sus cuentas, y muchas víctimas pudieron utilizar la autenticación de dos factores (2FA) a través de mensajes SMS.
Pronto quedó claro que el problema era la inseguridad de este método 2FA en su conjunto.Por ejemplo, en julio de 2018, los periodistas de la división Mother Board publicaron los resultados de una investigación que demostraban que los atacantes a menudo «robaban» las tarjetas SIM de los usuarios, lo que les permitía apropiarse de cuentas y de la identidad de otras personas por decenas e incluso cientos.
Cabe destacar que en 2016, el Instituto Nacional de Estándares y Tecnología (NIST) presentó un documento interesante según el cual el uso de mensajes SMS para la autenticación de dos factores es «inaceptable» y «no seguro». Los expertos en seguridad llevan mucho tiempo hablando de ello, ya que aquí puede haber muchas opciones de ataque. Por ejemplo, los atacantes pueden explotar las vulnerabilidades de SS7 e interceptar mensajes, llevar a cabo un intercambio de SIM, es decir, reemitir la tarjeta SIM de una víctima, y, por último, los mensajes SMS pueden interceptar incluso el software malicioso que haya penetrado en el dispositivo.
Los desarrolladores de Instagram escucharon las opiniones de los expertos y las quejas de las víctimas. Anunciaron que mejorarían la autenticación de dos factores de su servicio añadiendo compatibilidad con aplicaciones de autenticación de terceros (Google Authenticator, DUO Mobile), lo que se lanzará esta semana. Los usuarios podrán elegir la solución para implementar 2FA en Google Play o en la App Store activando la opción correspondiente en la configuración de la cuenta.
Además, para luchar contra los bots, las cuentas falsas de estrellas y los abusos, los desarrolladores introdujeron una nueva función: Acerca de esta cuenta. Gracias a ella, los usuarios pueden ver el historial de la cuenta de otra persona y conocer la fecha de su creación. el país al que pertenece la cuenta; información sobre el cambio de nombre de usuario; buscar perfiles cuyas bases de seguidores se superpongan.
Además, los usuarios ahora pueden solicitar la verificación de sus cuentas proporcionando a los operadores de Instagram copias de documentos e indicando su nombre real. Estas cuentas tendrán una marca de verificación correspondiente.
