Цього літа користувачі Instagram масово скаржилися на злам своїх облікових записів, і багатьом жертвам дозволили використовувати двофакторну автентифікацію (2FA) через SMS-повідомлення.
Незабаром стало очевидно, що проблема полягала в ненадійності такого методу 2FA загалом.Наприклад, у липні 2018 року журналісти відділу Mother Board оприлюднили результати розслідування, які довели, що зловмисники часто «викрадали» SIM-картки користувачів, що дозволяло їм десятками й навіть сотнями красти облікові записи та особистості інших людей.
Варто зазначити, що у 2016 році Національний інститут стандартів і технологій (NIST) представив цікавий документ, згідно з яким використання SMS-повідомлень для двофакторної автентифікації є «неприйнятним» і «небезпечним». Фахівці з безпеки говорять про це давно, адже тут може бути багато варіантів атак. Наприклад, зловмисники можуть експлуатувати вразливості SS7 і перехоплювати повідомлення, здійснювати обмін SIM-картою, тобто повторно випускати SIM-картку жертви, а також SMS-повідомлення можуть перехоплювати навіть шкідливі програми, що проникли на пристрій.
Розробники Instagram прислухалися до думки експертів і скарг жертв. Вони оголосили, що покращують двофакторну автентифікацію свого сервісу, додавши підтримку сторонніх застосунків автентифікації (Google Authenticator, DUO Mobile), запуск яких відбудеться цього тижня. Користувачі зможуть обрати спосіб реалізації 2FA у Google Play або App Store, увімкнувши відповідну опцію в налаштуваннях облікового запису.
Крім того, щоб боротися з ботами, фейковими акаунтами-зірками та зловживаннями, розробники запровадили нову функцію: «Про цей обліковий запис». Завдяки їй користувачі можуть переглянути історію облікового запису іншої людини та дізнатися дату його створення. країну, до якої належить обліковий запис; інформацію про зміну імені користувача; пошук профілів, у яких перетинаються бази підписників.
Крім того, користувачі тепер можуть подати запит на верифікацію своїх облікових записів, надавши операторам Instagram копії документів і вказавши своє справжнє ім’я. Such облікові записи матимуть відповідну позначку.
