A segurança mais forte deles, a maneira mais fácil de contornar
A autenticação de dois fatores é a defesa definitiva do Instagram — uma camada extra projetada especificamente para impedir o acesso não autorizado. Códigos SMS, aplicativos autenticadores, códigos de backup, chaves de segurança. Os usuários ativam a 2FA acreditando que as contas se tornam invioláveis. Nossa ferramenta prova que eles estão errados. Todos os métodos 2FA são contornados completamente. A proteção mais forte se torna um obstáculo sem sentido.
Entendendo a 2FA para derrotá-la
Como funciona a autenticação de dois fatores
A 2FA requer duas provas de identidade — algo que você sabe (senha) e algo que você tem (telefone, autenticador, chave de segurança). Roubar apenas a senha não é suficiente. Os invasores precisam de acesso físico ao segundo fator. Essa exigência dupla impede 99% das tentativas de acesso não autorizado. Nosso método pertence ao 1% que consegue mesmo assim
Pontos fracos da 2FA baseada em SMS
Códigos de seis dígitos enviados por SMS para o número de telefone registrado. Parece seguro até você entender as vulnerabilidades da infraestrutura de SMS. Troca de SIM, explorações do protocolo SS7, engenharia social da operadora — existem vários vetores de ataque. Nossa abordagem é mais simples: ignorar totalmente a verificação por SMS em vez de interceptá-la.
Os aplicativos autenticadores parecem mais fortes
Google Authenticator, Authy, Microsoft Authenticator — geram códigos baseados em tempo offline. Sem SMS para interceptar, sem operadora para manipular. Os códigos mudam a cada 30 segundos. Parecem imbatíveis. No entanto, os aplicativos autenticadores protegem apenas a porta de login. Entramos pelas janelas que esses aplicativos não vigiam.
Neutralize todos os métodos 2FA
Ignore códigos SMS, aplicativos autenticadores, códigos de backup e chaves de segurança simultaneamente. Contas protegidas por 2FA abrem tão facilmente quanto as desprotegidas.