Este verão, os utilizadores do Instagram queixaram-se massivamente de contas pirateadas, e muitas vítimas foram autorizadas a usar a autenticação de dois fatores (2FA) através de mensagens SMS.
Tornou-se rapidamente evidente que o problema era a insegurança deste método 2FA no seu todo.Por exemplo, em julho de 2018, jornalistas da divisão Mother Board publicaram os resultados de uma investigação que provava que os atacantes frequentemente «roubavam» os cartões SIM dos utilizadores, o que lhes permitia roubar contas e a identidade de outras pessoas às dezenas e mesmo às centenas.
Convém salientar que, em 2016, o Instituto Nacional de Normas e Tecnologia (NIST) apresentou um documento interessante segundo o qual a utilização de mensagens SMS para a autenticação de dois fatores é «inaceitável» e «não segura». Os especialistas em segurança falam disto há muito tempo, porque podem existir muitas opções de ataque aqui. Por exemplo, os atacantes podem explorar as vulnerabilidades do SS7 e intercetar mensagens, implementar uma troca de cartão SIM, ou seja, reemitir o cartão SIM de uma vítima, e, por fim, as mensagens SMS podem ser intercetadas mesmo por software malicioso que tenha penetrado no dispositivo.
Os programadores do Instagram ouviram a opinião dos especialistas e as queixas das vítimas. Anunciaram que estão a melhorar a autenticação de dois fatores do seu serviço, acrescentando suporte para aplicações de autenticação de terceiros (Google Authenticator, DUO Mobile), que será lançado esta semana. Os utilizadores poderão escolher a solução para a implementação do 2FA na Google Play ou na App Store, ativando a opção correspondente nas definições da conta.
Além disso, para combater os robôs, as contas falsas com estrelas e os abusos, os programadores introduziram uma nova funcionalidade: Sobre esta conta. Graças a ela, os utilizadores podem ver o histórico da conta de outra pessoa e saber a data da sua criação. o país a que a conta pertence; informações sobre a alteração do nome de utilizador; pesquisar perfis cujas bases de seguidores se sobreponham.
Além disso, os utilizadores podem agora solicitar a verificação das suas contas, fornecendo aos operadores do Instagram cópias de documentos e indicando o seu verdadeiro nome. Estas contas terão um visto correspondente.
