今年の夏、Instagramのユーザーの多くがアカウントのハッキング被害を訴え、多くの被害者がSMSメッセージによる二要素認証（2FA）の利用を許可されていました。
この方式そのものの安全性の低さが問題の根本にあることは、すぐに明らかになりました。例えば2018年7月、Mother Board部門のジャーナリストが、攻撃者がユーザーのSIMカードを「盗み」、それによって数十件、さらには数百件ものアカウントや他人の身元を乗っ取っていたことを立証した調査の結果を公開しました。
特筆すべきは、2016年に米国国立標準技術研究所（NIST）が、SMSメッセージを二要素認証に用いることは「受け入れられず」「安全ではない」とする興味深い文書を発表したことです。 専門家たちは以前からこの問題を指摘してきました。ここには多くの攻撃手段が存在するためです。 例えば、攻撃者はSS7の脆弱性を悪用してメッセージを傍受したり、SIMスワップ、すなわち被害者のSIMカードを再発行させる手口を実行したりできます。さらに、SMSメッセージは、端末に侵入したマルウェアによってさえ傍受されかねません。
Instagramの開発チームは、専門家の意見や被害者の訴えに耳を傾けました。 同社は、サードパーティの認証アプリ（Google Authenticator、DUO Mobile）への対応を追加することで、サービスの二要素認証を改善すると発表しました。この機能は今週中に提供開始されます。 ユーザーは、アカウント設定で該当オプションを有効にすることで、Google PlayまたはApp Storeからダウンロードした認証アプリを2FAの実装方法として選択できるようになります。
さらに、ボット、偽の「スター」アカウント、不正行為への対策として、開発チームは「このアカウントについて」という新機能を導入しました。 この機能により、ユーザーは他のアカウントの履歴を確認し、そのアカウントの作成日を知ることができます。 アカウントが属する国、 ユーザー名の変更に関する情報、 フォロワー層が重なるプロフィールの検索。
さらに、ユーザーはInstagramの運営者に書類のコピーを提出し、本名を記載することで、アカウントの認証をリクエストできるようになりました。 認証されたアカウントには、対応する認証マークが付与されます。
