Latem użytkownicy Instagrama masowo skarżyli się na przejmowanie ich kont, a wielu poszkodowanym pozwolono korzystać z uwierzytelniania dwuskładnikowego (2FA) za pomocą wiadomości SMS.
Szybko stało się oczywiste, że problemem jest niebezpieczeństwo takiej metody 2FA jako całości.Na przykład w lipcu 2018 roku dziennikarze z działu Mother Board opublikowali wyniki śledztwa, które dowodziły, że napastnicy często „przejmowali” karty SIM użytkowników, dzięki czemu mogli przejmować konta i tożsamości innych osób w dziesiątkach, a nawet setkach przypadków.
Warto podkreślić, że w 2016 roku Narodowy Instytut Norm i Technologii (NIST) przedstawił interesujący dokument, zgodnie z którym używanie wiadomości SMS do uwierzytelniania dwuskładnikowego jest „niedopuszczalne” i „niezabezpieczone”. Eksperci ds. bezpieczeństwa mówią o tym od dawna, ponieważ w tym przypadku może istnieć wiele opcji ataku. Na przykład napastnicy mogą wykorzystywać luki w SS7 i przechwytywać wiadomości, przeprowadzać wymianę karty SIM, czyli ponownie wydać kartę SIM ofiary, a wreszcie wiadomości SMS mogą przechwytywać nawet złośliwe oprogramowanie, które dostało się do urządzenia.
Twórcy Instagrama wysłuchali opinii ekspertów i skarg poszkodowanych. Ogłosili, że ulepszają uwierzytelnianie dwuskładnikowe w swojej usłudze, dodając obsługę aplikacji uwierzytelniających firm trzecich (Google Authenticator, DUO Mobile), która zostanie uruchomiona w tym tygodniu. Użytkownicy będą mogli wybrać rozwiązanie do wdrożenia 2FA w Google Play lub w App Store, włączając odpowiednią opcję w ustawieniach konta.
Ponadto, aby walczyć z botami, fałszywymi kontami z gwiazdkami i nadużyciami, twórcy wprowadzili nową funkcję: Informacje o tym koncie. Dzięki niej użytkownicy mogą zobaczyć historię konta innej osoby i poznać datę jego utworzenia. kraj, do którego należy konto; informacje o zmianie nazwy użytkownika; wyszukiwanie profili, których bazy obserwujących się pokrywają.
Ponadto użytkownicy mogą teraz złożyć wniosek o weryfikację swoich kont, przesyłając operatorom Instagrama kopie dokumentów i podając swoje prawdziwe imię i nazwisko. Takie konta otrzymają odpowiadający im znaczek weryfikacyjny.
