Ochrana Instagramu

Mimo svět Travianu připravujeme obsah i pro naše další projekty. Tentokrát jde o téma zabezpečení Instagram účtu, kterému se věnuje náš web prihlaseni-ig.cz.

Proč je Instagram účet tak lákavým cílem

Instagram dnes pro mnoho lidí není jen místo na sdílení fotek, ale prakticky digitální identita – propojené kontakty, soukromé zprávy, uložené vzpomínky na roky zpátky, a u řady účtů i navázané podnikání, spolupráce s značkami nebo jednoduše velký okruh sledujících, kterému útočník může začít psát jménem oběti. Právě tahle kombinace – citlivý obsah, důvěra okolí a často i peněžní hodnota účtu – dělá z Instagramu jeden z nejčastějších cílů podvodníků specializujících se na sociální sítě. Pochopení, jak k napadení účtu nejčastěji dochází, je prvním krokem k tomu, aby se to nestalo právě vám.

Nejčastější způsoby, jak lidé o účet přijdou

Phishingové zprávy a e-maily

Nejrozšířenější metodou zůstává phishing – zpráva nebo e-mail, který se tváří jako komunikace přímo od Instagramu nebo Meta, a snaží se vyvolat pocit naléhavosti. Typický vzorec zprávy zní „váš účet bude během 24 hodin smazán za porušení pravidel, pro zrušení klikněte zde“ nebo „někdo se snažil přihlásit do vašeho účtu, ověřte svou identitu kliknutím na tento odkaz“. Odkaz pak vede na stránku, která vizuálně kopíruje přihlašovací obrazovku Instagramu do nejmenšího detailu, ale ve skutečnosti jen zaznamená zadané přihlašovací údaje a odešle je útočníkovi. Instagram sám o sobě nikdy nekomunikuje o bezpečnostních problémech účtu přes DM od jiného uživatelského účtu ani přes e-mail s odkazem, který vyžaduje okamžité zadání hesla – legitimní bezpečnostní upozornění se zobrazují přímo v aplikaci po přihlášení, ne jako externí odkaz vyžadující přihlášení znovu.

Falešné „ověřovací“ odznaky a nabídky monetizace

Druhou rozšířenou metodou je nabídka modrého „ověřovacího“ odznaku nebo zvýhodněné monetizace účtu výměnou za „ověření identity“ na externí stránce nebo zaslání přihlašovacích údajů „pro urychlení schválení“. Tyto nabídky cílí především na lidi, kteří touží po větší viditelnosti nebo mají účet s podnikatelským přesahem, a slibují něco, co skutečný Instagram nikdy nevyžaduje mimo svou vlastní aplikaci a nikdy ne výměnou za heslo. Podobně fungují i falešné soutěže a „spolupráce se značkou“, kde je podmínkou účasti přihlášení přes podezřelý externí formulář.

Slabá a opakovaně používaná hesla

I bez cíleného útoku na konkrétní osobu je velké množství účtů prolomeno jednoduše díky tomu, že lidé používají krátká, snadno uhodnutelná hesla, nebo stejné heslo na více různých službách. Pokud unikne databáze přihlašovacích údajů z jiné, zcela nesouvisející služby (e-shop, fórum, starší web), útočníci tyto kombinace e-mailu a hesla automatizovaně zkoušejí na dalších populárních službách včetně Instagramu – technika známá jako credential stuffing. Pokud používáte na Instagramu stejné heslo jako kdekoli jinde, riziko zneužití roste s každým dalším únikem dat, o kterém se dozvíte třeba až zpětně.

Aplikace třetích stran s nadměrnými oprávněními

Poslední běžnou cestou jsou externí aplikace a nástroje, které slibují třeba „zobrazení, kdo si prohlíží váš profil“, automatické plánování příspěvků, nebo nárůst sledujících, a za tímto účelem požadují propojení s Instagram účtem a udělení širokých oprávnění. Řada takových nástrojů je neškodná, ale mezi nimi se objevují i aplikace vytvořené přímo za účelem zneužití přístupu – jakmile jim jednou udělíte oprávnění, mohou jménem vašeho účtu rozesílat zprávy, lajkovat, sledovat jiné účty, nebo v horším případě přímo změnit přihlašovací údaje a účet zcela převzít.

Jak účet reálně zabezpečit

Silné a unikátní heslo

Základem je heslo, které se nepoužívá na žádné jiné službě, a které není odvozené od snadno dohledatelných osobních údajů (jméno, datum narození, jméno partnera). Doporučuje se delší heslo složené z náhodné kombinace slov, čísel a znaků, ideálně generované a uložené ve správci hesel, aby nebylo nutné si ho pamatovat ani ho zapisovat na nezabezpečené místo. Pokud jste někdy použili stejné heslo i na jiné službě, vyplatí se ho na Instagramu (i na té druhé službě) co nejdřív změnit.

Dvoufázové ověření (2FA)

Dvoufázové ověření je jedno z nejúčinnějších opatření, které lze proti převzetí účtu udělat. I pokud se útočníkovi podaří heslo získat (phishingem nebo z uniklé databáze), bez druhého ověřovacího kroku – kódu z aplikace pro ověřování nebo SMS – se do účtu nedostane. Instagram umožňuje 2FA aktivovat přímo v nastavení zabezpečení účtu, a doporučuje se použít ověřovací aplikaci (authenticator) místo SMS kódu, protože SMS zprávy lze za určitých okolností zneužít přesměrováním čísla (tzv. SIM swapping).

Pravidelná kontrola propojených aplikací

V nastavení účtu je možné zobrazit seznam všech aplikací a webů, které mají k účtu udělený přístup. Vyplatí se tento seznam čas od času projít a odebrat oprávnění všem aplikacím, které už nepoužíváte, nebo si nejste jistí, k čemu je vlastně dáváte. Čím méně aplikací má k účtu přístup, tím méně potenciálních cest má útočník k dispozici.

Kontrola aktivních přihlášení

Instagram v nastavení zobrazuje i přehled zařízení a míst, ze kterých je účet aktuálně přihlášen. Pravidelná kontrola tohoto seznamu umožňuje rychle odhalit neznámé přihlášení (jiné město, jiné zařízení, jiný čas, kdy jste si vy sami jisti, že jste se nepřihlašovali) a okamžitě dané zařízení odhlásit, než útočník stihne účet dál zneužít.

Co dělat, pokud už k napadení došlo

Pokud máte podezření nebo jistotu, že byl váš účet napadený – nejde se přihlásit, heslo bylo bez vašeho vědomí změněno, nebo sledující hlásí podivné zprávy odeslané jménem vašeho účtu – je důležité jednat rychle. Instagram má v aplikaci i na webu samostatný formulář pro nahlášení napadeného účtu a obnovu přístupu, kam je potřeba zadat co nejvíce ověřovacích údajů (e-mail, telefon použitý při registraci, přibližné datum vytvoření účtu), aby systém mohl identitu vlastníka ověřit i bez aktuálního hesla. Pokud se k e-mailu spojenému s účtem ještě máte přístup a útočník ho zatím nezměnil, je vhodné nejdřív zkusit standardní obnovu hesla přes „zapomenuté heslo“ a teprve pokud to nefunguje, využít formulář pro napadené účty.

Souběžně s tím je rozumné varovat blízké kontakty a sledující, že účet byl napadený a zprávy nebo příspěvky z něj v tuto chvíli nemusí pocházet od vás – útočníci často zneužívají převzatý účet právě k tomu, aby jménem oběti žádali o peníze nebo rozesílali další phishingové odkazy přímo jejím kontaktům, kteří jim díky důvěře snáze uvěří. Jakmile se podaří účet obnovit, je nutné okamžitě změnit heslo na nové, unikátní, aktivovat dvoufázové ověření (pokud ještě nebylo), a znovu projít seznam propojených aplikací a aktivních přihlášení – útočník mohl během přístupu k účtu přidat vlastní propojenou aplikaci nebo zařízení, které by mu umožnilo se vrátit i po změně hesla.

Víc praktických návodů a aktuálních informací k přihlašování a zabezpečení Instagram účtu najdete na webu prihlaseni-ig.cz.