Quest’estate, gli utenti di Instagram si sono lamentati in massa del furto dei loro account e molte vittime sono state autorizzate a usare l’autenticazione a due fattori (2FA) tramite messaggi SMS.
È diventato subito evidente che il problema era la vulnerabilità di un simile metodo 2FA nel suo complesso.Ad esempio, nel luglio 2018, i giornalisti della divisione Mother Board hanno pubblicato i risultati di un’ indagine che dimostrano come gli aggressori “rubassero” spesso le schede SIM degli utenti, consentendo loro di sottrarre account e l’identità di altre persone a decine e persino a centinaia.
È opportuno sottolineare che nel 2016 l’Istituto nazionale di standard e tecnologia (NIST) ha presentato un documento interessante secondo cui l’uso dei messaggi SMS per l’autenticazione a due fattori è “inaccettabile” e “non sicuro”. Gli esperti di sicurezza ne parlano da tempo, perché qui possono esserci molte opzioni di attacco. Ad esempio, gli aggressori possono sfruttare le vulnerabilità di SS7 e intercettare i messaggi, mettere in atto uno scambio di SIM, ovvero riemettere la scheda SIM di una vittima e, infine, i messaggi SMS possono intercettare anche il malware che ha penetrato il dispositivo.
Gli sviluppatori di Instagram hanno ascoltato i pareri degli esperti e le lamentele delle vittime. Hanno annunciato che stavano migliorando l’autenticazione a due fattori del servizio aggiungendo il supporto per le app di autenticazione di terze parti (Google Authenticator, DUO Mobile), che sarà lanciato questa settimana. Gli utenti potranno scegliere la soluzione per l’implementazione di 2FA su Google Play o sull’App Store attivando l’opzione corrispondente nelle impostazioni dell’account.
Inoltre, per contrastare i bot, i falsi account star e gli abusi, gli sviluppatori hanno introdotto una nuova funzionalità: Info su questo account. Grazie ad essa, gli utenti possono vedere la cronologia dell’account di un’altra persona e conoscerne la data di creazione. il paese a cui appartiene l’account; informazioni sulla modifica del nome utente; cercare profili le cui basi di follower si sovrappongono.
Inoltre, gli utenti possono ora inviare una richiesta di verifica dei propri account fornendo agli operatori di Instagram copie di documenti e indicando il proprio vero nome. Questi account avranno una spunta corrispondente.
