Login i hasło to w dzisiejszych czasach niewystarczająca forma zabezpieczenia dostępu do konta. Z tego powodu większość dużych dostawców usług, także portali społecznościowych, promuje i zachęca do wykorzystania 2FA czyli dwuskładnikowego uwierzytelniania. Dzięki temu samo hasło nie wystarczy. Konieczne jest podanie także jednorazowego kodu generowanego przez aplikację czy wysyłanego poprzez SMS. Jednak są sytuacje, które wymagają zresetowania tej funkcji np. utrata dostępu do nr telefonu, na który do tej pory przychodziły kody. W tym celu Instagram po włączeniu tej funkcji, udostępnia 8-cyfrowy kod, który pozwala się zweryfikować, jeżeli nie masz dostępu do obecnej metody 2FA.
Naturalnym jest, że wejście w posiadanie tego kodu przez inne osoby niż właściciel konta, może skutkować przejęciem konta i tożsamości przez atakującego. Właśnie tego dotyczy ten wpis. Do niektórych użytkowników Instagrama przychodzą w ostatnim czasie maile, sugerujące, że opublikowali oni treści, które naruszają regulamin serwisu i prawa autorskie innych osób. Odbiorcy wiadomości są instruowani jak mogą się odwołać i kierowani na stronę, która jest oczywiście fałszywa.
Jest to standardowy atak phishingowy, gdzie użytkownik podaje login i hasło. W tym przypadku dodano jeszcze jeden krok – wpisanie wspomnianego 8-cyfrowego kodu. W ten sposób atakujący może przejąć kontrolę nad kontem.
W tym przypadku wiadomość wygląda podejrzanie, chociażby poprzez adres URL, na który kierowany jest użytkownik, ale zdarzają się też bardziej zaawansowane ataki. Dlatego zawsze należy dokładnie przemyśleć sytuację, zamiast działać pod wpływem impulsu i podawać dane. Nawet jeżeli wiadomość nie wygląda podejrzanie, wystarczy w nowej wiadomości skontaktować się z pomocą techniczną danego serwisu i wyjaśnić sytuację, podając informacje z maila. W ten sposób możemy uniknąć wielu problemów. Warto także pomyśleć nad zainstalowaniem dodatku wykrywającego spam w poczcie oraz programu antywirusowego z funkcją antyphishignową i wykrywania fałszywych stron.
Źródło: https://www.bleepingcomputer.com/news/security/new-phishing-attack-steals-your-instagram-backup-codes-to-bypass-2fa/
