Jak zabezpieczyć konto na Instagramie
Checklista do przejścia raz, spokojnie, od góry do dołu. Zajmuje kwadrans i zamyka najczęściej wykorzystywane furtki.
Zabezpieczenie konta Instagram sprowadza się do zamknięcia kilku konkretnych furtek, przez które w praktyce wchodzą atakujący: powtórzone hasło, kod z SMS, stara aplikacja z dostępem do profilu, zapomniana sesja na cudzym urządzeniu i niezabezpieczona skrzynka pocztowa. Przejdź poniższą listę po kolei. Ustawienia znajdziesz w Centrum kont Meta, w sekcji dotyczącej haseł i bezpieczeństwa logowania, wspólnej dla Instagrama i Facebooka.
1. Hasło, którego nie ma nigdzie indziej
Hasło do Instagrama musi być używane tylko tam. Większość przejęć nie zaczyna się od łamania hasła, tylko od jego pobrania z wycieku z zupełnie innego serwisu i wypróbowania na kolejnych kontach. Ustaw hasło długie, złożone z kilku słów albo losowe, i zapisz je w menedżerze haseł. Menedżer robi dwie rzeczy naraz: pamięta za Ciebie unikalne hasło do każdej usługi i nie podpowie danych logowania na fałszywej stronie, bo ta ma inny adres niż zapisany. To sam w sobie skuteczny filtr na phishing.
2. Dwuskładnikowe logowanie w aplikacji, nie w SMS
Włącz uwierzytelnianie dwuskładnikowe i jako metodę wybierz aplikację uwierzytelniającą generującą kody. SMS jest lepszy niż nic, ale ma poważną słabość: kod trafia na numer telefonu, a numer da się przejąć. Przy przejęciu numeru ktoś podaje się za Ciebie u operatora, wyrabia duplikat karty SIM, a wtedy kody z SMS przychodzą do niego i drugi składnik przestaje chronić. Kody z aplikacji powstają na Twoim urządzeniu i nie da się ich przechwycić w ten sposób.
Jeśli masz klucz bezpieczeństwa, Instagram obsługuje go jako metodę logowania i jest to najmocniejsza z dostępnych opcji. Gdy w Twojej wersji aplikacji pojawiła się już możliwość logowania kluczem dostępu, czyli passkey, również warto ją włączyć. Numeru telefonu nie usuwaj z konta, ale niech będzie zapasem, a nie podstawą.
3. Kody zapasowe wydrukowane, a nie w telefonie
Przy włączaniu dwuskładnikowego logowania platforma udostępnia zestaw kodów zapasowych na wypadek utraty dostępu do aplikacji uwierzytelniającej. Zapisz je poza telefonem: wydrukuj albo przepisz na kartkę i schowaj tam, gdzie trzymasz dokumenty. Trzymanie ich w notatkach w tym samym telefonie oznacza, że po jego utracie tracisz oba składniki naraz. Każdy kod działa jednorazowo, więc po zużyciu wygeneruj nowy zestaw.
4. Przegląd zalogowanych urządzeń i sesji
W ustawieniach bezpieczeństwa logowania znajdziesz listę urządzeń i lokalizacji, z których konto jest aktualnie zalogowane. Przejrzyj ją i wyloguj wszystko, czego nie rozpoznajesz: stary telefon, komputer z pracy, sesję z miasta, w którym nigdy nie byłeś. Włącz też alerty o nietypowych logowaniach, żeby dostawać powiadomienie, gdy ktoś wejdzie na konto z nowego urządzenia. Ten przegląd rób co jakiś czas, nie tylko raz.
5. Odbierz dostęp starym aplikacjom
W ustawieniach jest lista aplikacji i witryn, którym kiedyś pozwoliłeś połączyć się z kontem: narzędzia do planowania postów, konkursy, generatory statystyk, aplikacje do edycji zdjęć. Każda z nich to osobna droga do Twojego profilu, a bezpieczeństwo tej drogi zależy od czyjegoś serwera, nie od Twojego hasła. Usuń wszystko, z czego już nie korzystasz, i zostaw tylko narzędzia faktycznie używane. Trzymaj się z dala od aplikacji obiecujących zasięgi, obserwujących albo informację o tym, kto Cię przestał obserwować, bo to typowa przykrywka dla zbierania danych logowania.
6. Skrzynka pocztowa jest kluczem do wszystkiego
Kto ma dostęp do Twojej poczty, ten zresetuje hasło do konta na Instagramie i do reszty usług. Ustaw więc na skrzynce hasło unikalne i dłuższe niż gdzie indziej oraz dwuskładnikowe logowanie w aplikacji. Sprawdź w niej reguły przekierowań, filtry i adresy zapasowe, bo to pierwsze miejsce, które modyfikuje atakujący, żeby ukryć powiadomienia platformy. Upewnij się, że adres przypisany do Instagrama jest aktualny i że nadal masz do niego dostęp.
7. Ostrożność przy linkach i wiadomościach
Nie loguj się przez linki z wiadomości, maili ani z opisów profili, tylko wpisuj adres samodzielnie albo używaj aplikacji. Prawdziwe powiadomienia od platformy znajdziesz również w ustawieniach konta, w sekcji z wiadomościami wysłanymi przez Meta, i to jest sposób na sprawdzenie, czy mail o naruszeniu zasad jest autentyczny. Żaden pracownik platformy nie napisze do Ciebie z prośbą o hasło ani o kod z wiadomości, więc każda taka prośba jest próbą przejęcia konta, nawet jeśli przychodzi z profilu znajomego.
Na koniec: żadna z tych zmian nie daje stuprocentowej odporności, ale razem sprawiają, że atak wymaga znacznie więcej niż jednego wycieku hasła i chwili nieuwagi.
8. Uporządkuj dostęp innych osób
Najczęściej pomijany punkt, a przy kontach firmowych to właśnie tędy giną profile. Grafik, który miał zrobić jedną grafikę. Agencja sprzed dwóch lat. Wspólnik, z którym drogi się rozeszły. Każda z tych osób dostała kiedyś dostęp i nikt go nie odebrał.
Zasada jest prosta: nigdy nie dawaj hasła, dawaj rolę. Rola jest przypisana do konta konkretnej osoby, widać ją na liście, można ją odebrać jednym kliknięciem i nie wymaga zmiany hasła dla wszystkich pozostałych. Hasło przekazane raz zostaje u tej osoby na zawsze, także w jej menedżerze haseł, w historii czatu i na jej sprzęcie, którego stanu nie znasz.
Przejrzyj listę osób z dostępem i zadaj przy każdej dwa pytania: czy ta osoba nadal z nami pracuje i czy nadal potrzebuje właśnie tego poziomu uprawnień. Wszystko, co nie przechodzi obu pytań, usuń. Zrób to również przy każdym zakończeniu współpracy, a nie raz na rok.
9. Przygotuj plan na wypadek utraty telefonu
Zabezpieczenia mają swoją cenę: im mocniej zamkniesz konto, tym gorzej wygląda sytuacja, w której zgubisz sprzęt. Warto to przemyśleć zawczasu, kiedy jest spokojnie.
Zapisz sobie w jednym miejscu, do czego masz dostęp poza telefonem: gdzie leżą kody zapasowe, na jakiej skrzynce odbierzesz maile odzyskiwania, czy aplikacja uwierzytelniająca ma kopię zapasową i gdzie jest jej hasło. Sprawdź też, czy adres i numer przypisane do konta są aktualne, bo dane sprzed trzech lat okażą się bezużyteczne dokładnie wtedy, gdy będą potrzebne.
Jeśli konto ma dla Ciebie realną wartość, rozważ drugie urządzenie z aplikacją uwierzytelniającą albo fizyczny klucz bezpieczeństwa trzymany w domu. To najprostsza polisa na scenariusz, w którym telefon zostaje w taksówce.
10. Wracaj do tej listy co pół roku
Ustawienia się rozjeżdżają. Dochodzą nowe aplikacje, pojawiają się nowe urządzenia, zmienia się numer telefonu, ktoś dostaje dostęp na chwilę i zostaje na stałe. Przegląd raz na pół roku zajmuje kwadrans i sprowadza się do czterech rzeczy: lista zalogowanych urządzeń, lista aplikacji z dostępem, lista osób z rolami, aktualność adresu e-mail i numeru.
To jest cała różnica między kontem, które było zabezpieczone kiedyś, a kontem zabezpieczonym teraz.
Najczęściej zadawane pytania
Czy menedżer haseł jest bezpieczny? Bezpieczniejszy niż powtarzanie tego samego hasła w kilkunastu serwisach, a to jest realna alternatywa. Zabezpiecz go długim hasłem głównym i osobnym dwuskładnikowym logowaniem, a dostęp do niego trzymaj wyłącznie na swoich urządzeniach.
Co zrobić, gdy zgubię telefon z aplikacją do kodów? Zaloguj się kodem zapasowym, wyloguj utracone urządzenie z listy sesji i skonfiguruj aplikację uwierzytelniającą na nowym telefonie. Dlatego właśnie kody zapasowe powinny leżeć poza telefonem, a nie w nim.
Czy zmieniać hasło co jakiś czas? Regularna zmiana bez powodu niewiele daje i zwykle kończy się słabszymi hasłami. Zmieniaj je natychmiast, gdy pojawi się powód: wyciek danych z serwisu, podejrzane logowanie, kliknięcie w podejrzany link albo używanie konta na cudzym urządzeniu.
Czy klucz bezpieczeństwa ma sens przy zwykłym koncie? Przy koncie, z którego nie żyjesz, aplikacja uwierzytelniająca i kody zapasowe w zupełności wystarczą. Klucz jest wart rozważenia wtedy, gdy utrata profilu oznacza utratę przychodu albo gdy wcześniej ktoś już próbował go przejąć. Jego przewaga polega na tym, że nie da się go podać podstawionej stronie.
Ile z tej listy da się zrobić w jedno posiedzenie? Punkty od pierwszego do siódmego to około dwudziestu minut z telefonem w ręku. Ósmy zajmuje tyle, ile masz osób z dostępem. Dziewiąty i dziesiąty to nie zadania na dziś, tylko nawyk. Jeśli masz zrobić tylko część, zacznij od dwuskładnikowego logowania i od kodów zapasowych, bo tam siedzi największy zysk.
Czy konto firmowe wymaga czegoś więcej? Tak, dochodzi uporządkowanie dostępów. Każda osoba powinna wchodzić na własnym koncie z przypisaną rolą, zamiast dzielić jedno hasło, a przy odejściu współpracownika lub agencji dostęp trzeba odebrać od razu i przejrzeć listę administratorów.
