הקיץ הזה, משתמשי אינסטגרם התלוננו בהמוניהם על פריצה לחשבונותיהם, ורבים מהקורבנות קיבלו אפשרות להשתמש באימות דו-שלבי (2FA) באמצעות הודעות SMS.
התברר במהירות שהבעיה נעוצה בחוסר האבטחה של שיטת 2FA מסוג זה בכללותה.לדוגמה, ביולי 2018 פרסמו עיתונאים מחטיבת Mother Board את תוצאות חקירה שהוכיחה שהתוקפים “גנבו” לעיתים קרובות את כרטיסי ה-SIM של משתמשים, ובכך הצליחו לגנוב חשבונות ואת זהותם של אנשים אחרים בעשרות ואף במאות.
ראוי לציין שב-2016 הציג המכון הלאומי לתקנים וטכנולוגיה (NIST) מסמך מעניין שלפיו השימוש בהודעות SMS לאימות דו-שלבי הוא “בלתי מקובל” ו“לא מאובטח”. מומחי אבטחה מדברים על כך מזה זמן רב, שכן ישנן כאן אפשרויות תקיפה רבות. לדוגמה, התוקפים יכולים לנצל פגיעויות של SS7 וליירט הודעות, לבצע החלפת SIM, כלומר להנפיק מחדש את כרטיס ה-SIM של הקורבן, ולבסוף, הודעות SMS יכולות ליירט אפילו תוכנות זדוניות שחדרו למכשיר.
מפתחי אינסטגרם הקשיבו לדעות המומחים ולתלונות הקורבנות. הם הודיעו שהם משפרים את אימות הדו-שלבי של השירות על ידי הוספת תמיכה באפליקציות אימות של צד שלישי (Google Authenticator, DUO Mobile), שיושקו השבוע. המשתמשים יוכלו לבחור את הפתרון ליישום 2FA ב-Google Play או ב-App Store, על ידי הפעלת האפשרות המתאימה בהגדרות החשבון.
בנוסף, כדי להילחם בבוטים, בחשבונות מזויפים ובהתעללות, המפתחים הציגו תכונה חדשה: אודות החשבון. בזכותה, משתמשים יכולים לראות את היסטוריית החשבון של אדם אחר ולדעת מתי הוא נוצר. המדינה שאליה החשבון שייך; מידע על שינוי שם המשתמש; חיפוש פרופילים שבסיסי העוקבים שלהם חופפים.
בנוסף, משתמשים יכולים כעת להגיש בקשה לאימות חשבונותיהם, על ידי מסירת עותקים של מסמכים למפעילי אינסטגרם וציון שמם האמיתי. לחשבונות אלה תהיה סימון V מתאים.
