E-mail reset password di Instagram: la causa è un furto di dati che coinvolge 17,5 milioni di account

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/web/e-...nt_148431.html

Se nelle scorse ore avete ricevuto una e-mail per il reset della password di Instagram dovete sapere che la causa è un furto di dati che ha coinvolto ben 17,5 milioni di account frutto di un problema di sicurezza risalente al 2024.

Click sul link per visualizzare la notizia.

[zappy]

LORO si fanno bucare e rubare i TUOI dati, e TU devi dargli altri dati ancora per l’autenticazione a due fattori.

Come fa google: se non riconosce un accesso da un nuovo dispositivo, oltre la pass chiede (sul nuovo dispositivo non riconosciuto quindi potenzialmente sospetto) che tu gli dia un numero di telefono per mandarti un SMS con un codice. Ma se non riconosce l'accesso e lo considera sospetto, perchè chiede al sospetto di fornire un cell?
Metti che sia qualcuno che sta cercando di bucarti l'account, google chiede un cell "per conferma" proprio a chi ti sta bucando l'account!

Tutte balle, la 2fa serve solo ad accalappiare altri dati degli utenti. Se poi uno è coglione e come pass usa pippo o la attacca col postit allo schermo, cazzi suoi.

[marcram]

Originariamente inviato da zappy

LORO si fanno bucare e rubare i TUOI dati, e TU devi dargli altri dati ancora per l’autenticazione a due fattori.

No, non sei costretto a dargli dati per l'autenticazione a 2 fattori.
Sei tu, in caso, che scegli di darglieli.
La 2FA funziona tranquillamente senza...

[Darkon]

Comunque è incredibile che si facciano bucare ogni 3x2 ma porca miseria è un continuo.

A volte veramente mi chiedo come diamine gestiscono i server.

[insane74]

mail di reset ricevuta (non è la prima che io ricordi. anche un anno fa o giù di lì me ne arrivò una).
debitamente ignorata.
profilo spazzatura usato solo per visualizzare i video scemi che amici mi inviano sulle chat di gruppo.
registrato con mail fittizia ("nascondi la mia mail" di iCloud), password complessa, 2FA con app.

[Silent Bob]

Complimenti a Meta del caxxo, e cmq il 2FA io lo vorrei fare anche via mail se è possibile, ma con loro no.

Originariamente inviato da insane74

mail di reset ricevuta (non è la prima che io ricordi. anche un anno fa o giù di lì me ne arrivò una).
debitamente ignorata.
profilo spazzatura usato solo per visualizzare i video scemi che amici mi inviano sulle chat di gruppo.
registrato con mail fittizia ("nascondi la mia mail" di iCloud), password complessa, 2FA con app.

a me ne sono arrivate 2 in 3 giorni, mai arrivate prima.

Ad ogni modo sul profilo IG c'è proprio il modo di vedere se ti hanno inviato veramente la mail loro o no ed in effetti nessuna traccia.

Io pure non ho niente di che messo la sopra.

[insane74]

Meta dice che non c'è stata nessuna breccia: https://www.theverge.com/news/860337...d-reset-emails
credere a loro o a Malwarebytes?

[zephyr83]

Originariamente inviato da zappy

LORO si fanno bucare e rubare i TUOI dati, e TU devi dargli altri dati ancora per l’autenticazione a due fattori.

Come fa google: se non riconosce un accesso da un nuovo dispositivo, oltre la pass chiede (sul nuovo dispositivo non riconosciuto quindi potenzialmente sospetto) che tu gli dia un numero di telefono per mandarti un SMS con un codice. Ma se non riconosce l'accesso e lo considera sospetto, perchè chiede al sospetto di fornire un cell?
Metti che sia qualcuno che sta cercando di bucarti l'account, google chiede un cell "per conferma" proprio a chi ti sta bucando l'account!

Tutte balle, la 2fa serve solo ad accalappiare altri dati degli utenti. Se poi uno è coglione e come pass usa pippo o la attacca col postit allo schermo, cazzi suoi.

non è proprio così, il numero di telefono ce l'hanno già perché gliel'hai fornito in origine. il messaggio di conferma te lo inviano a quel numero, non chiedono di inserirne una a mano sul momento, non avrebbe davvero senso.

[NicoMcKiry]

Originariamente inviato da zappy

LORO si fanno bucare e rubare i TUOI dati, e TU devi dargli altri dati ancora per l’autenticazione a due fattori.

Come fa google: se non riconosce un accesso da un nuovo dispositivo, oltre la pass chiede (sul nuovo dispositivo non riconosciuto quindi potenzialmente sospetto) che tu gli dia un numero di telefono per mandarti un SMS con un codice. Ma se non riconosce l'accesso e lo considera sospetto, perchè chiede al sospetto di fornire un cell?
Metti che sia qualcuno che sta cercando di bucarti l'account, google chiede un cell "per conferma" proprio a chi ti sta bucando l'account!

Tutte balle, la 2fa serve solo ad accalappiare altri dati degli utenti. Se poi uno è coglione e come pass usa pippo o la attacca col postit allo schermo, cazzi suoi.

non funziona così. google ti manda un SMS su un numero di cellulare che hai già registrato e verificato, non te ne fa mettere uno qualsiasi.

[zappy]

Originariamente inviato da marcram

No, non sei costretto a dargli dati per l'autenticazione a 2 fattori.
Sei tu, in caso, che scegli di darglieli.
La 2FA funziona tranquillamente senza...

e il secondo fattore dove te lo mandano?
sul cell (e devono avere il numero) o su un'app sul cell (quindi idem).
O sbaglio?

[zappy]

Originariamente inviato da zephyr83

non è proprio così, il numero di telefono ce l'hanno già perché gliel'hai fornito in origine. il messaggio di conferma te lo inviano a quel numero, non chiedono di inserirne una a mano sul momento, non avrebbe davvero senso.

Originariamente inviato da NicoMcKiry

non funziona così. google ti manda un SMS su un numero di cellulare che hai già registrato e verificato, non te ne fa mettere uno qualsiasi.

visto che io NON gli ho dato MAI nessun n° di cell per quell'account (nè alcun altro dato che non fosse username e password), le vostre considerazioni sono sbagliate.
Chiede davvero un nuovo numero di cell a chi cerca di bucarti l'account, spacciandolo per un "controllo di sicurezza" che è esattamente l'opposto, visto che consegna il 2° fattore nuovo di zecca (che probabilmente poi considerano prioritario ) a un potenziale sconosciuto.

[marcram]

Originariamente inviato da zappy

e il secondo fattore dove te lo mandano?
sul cell (e devono avere il numero) o su un'app sul cell (quindi idem).
O sbaglio?

Sbagli.
Ho una ventina di "secondi fattori", e non ho mai dato il numero di cellulare a nessuno di essi.
Basta un'app. Anche sul pc, se vuoi.

[zappy]

Originariamente inviato da marcram

Sbagli.
Ho una ventina di "secondi fattori", e non ho mai dato il numero di cellulare a nessuno di essi.
Basta un'app. Anche sul pc, se vuoi.

Spiegami come fanno a sapere a quale app su quale dispositivo inviare il 2° fattore.
Se non gli hai dato il n° di cell esplicitamente, gli hai dato un account che risiede sul cell, che quindi è connesso al n° di cell in un modo o nell'altro, no?

[marcram]

Originariamente inviato da zappy

Spiegami come fanno a sapere a quale app su quale dispositivo inviare il 2° fattore.
Se non gli hai dato il n° di cell esplicitamente, gli hai dato un account che risiede sul cell, che quindi è connesso al n° di cell in un modo o nell'altro, no?

No, il TOTP si basa su un codice che cambia nel tempo.
Loro ti danno il "seme" (con un QR, ad esempio) che tu inserisci nella tua app (app completamente offline).
La tua app ti da, ogni 30 secondi, un codice diverso, che l'algoritmo ha calcolato in base al seme e in base all'ora precisa.
Inserisci quel codice nel sito, e loro verificano che il codice sia giusto, in base all'ora corrente.
Tutto qui, app e server di autenticazione sono completamente scollegati, a parte il seme che hai condiviso al momento della registrazione.

Anche le app di memorizzazione password (tipo Keepass) permettono il salvataggio del seme e la generazione del codice 2FA, quindi anche da pc.

[zappy]

Originariamente inviato da marcram

No, il TOTP si basa su un codice che cambia nel tempo.
Loro ti danno il "seme" (con un QR, ad esempio) che tu inserisci nella tua app (app completamente offline).
La tua app ti da, ogni 30 secondi, un codice diverso, che l'algoritmo ha calcolato in base al seme e in base all'ora precisa.
Inserisci quel codice nel sito, e loro verificano che il codice sia giusto, in base all'ora corrente.
Tutto qui, app e server di autenticazione sono completamente scollegati, a parte il seme che hai condiviso al momento della registrazione.

Anche le app di memorizzazione password (tipo Keepass) permettono il salvataggio del seme e la generazione del codice 2FA, quindi anche da pc.

Grazie del chiarimento