Deze zomer klaagden Instagram-gebruikers massaal over het kapen van hun accounts, en veel slachtoffers mochten tweestapsverificatie (2FA) via sms-berichten gebruiken.
Al snel werd duidelijk dat het probleem de onveiligheid van zo’n 2FA-methode in zijn geheel was.In juli 2018 publiceerden journalisten van de afdeling Mother Board bijvoorbeeld de resultaten van een onderzoek waaruit bleek dat aanvallers gebruikers’ simkaarten vaak “kaapten”, waardoor ze tientallen en zelfs honderden accounts en identiteiten van andere mensen konden stelen.
Het is de moeite waard om te benadrukken dat het Amerikaanse National Institute of Standards and Technology (NIST) in 2016 een interessant document presenteerde waarin het gebruik van sms-berichten voor tweestapsverificatie als “onacceptabel” en “onveilig” werd bestempeld. Beveiligingsexperts waarschuwen hier al lange tijd voor, omdat er hier veel aanvalsmogelijkheden kunnen zijn. Aanvallers kunnen bijvoorbeeld kwetsbaarheden in SS7 misbruiken en berichten onderscheppen, een simkaartwissel uitvoeren, dat wil zeggen de simkaart van een slachtoffer opnieuw uitgeven, en ten slotte kunnen sms-berichten zelfs worden onderschept door malware die het apparaat is binnengedrongen.
De ontwikkelaars van Instagram luisterden naar het advies van experts en de klachten van slachtoffers. Ze kondigden aan dat ze de tweestapsverificatie van hun dienst zouden verbeteren door ondersteuning toe te voegen voor authenticatie-apps van derden (Google Authenticator, DUO Mobile), die deze week wordt uitgerold. Gebruikers kunnen de oplossing voor de implementatie van 2FA kiezen in Google Play of in de App Store door de bijbehorende optie in de accountinstellingen in te schakelen.
Om bots, nep-sterrenaccounts en misbruik tegen te gaan, hebben de ontwikkelaars bovendien een nieuwe functie geïntroduceerd: Over dit account. Hiermee kunnen gebruikers de accountgeschiedenis van een ander bekijken en de datum van aanmaak achterhalen. het land waartoe het account behoort; informatie over wijzigingen in de gebruikersnaam; zoeken naar profielen waarvan de volgerbestanden elkaar overlappen.
Gebruikers kunnen nu bovendien een verzoek indienen om hun accounts te laten verifiëren door kopieën van documenten aan de Instagram-beheerders te verstrekken en hun echte naam op te geven. Deze accounts krijgen een bijbehorend vinkje.
