איך לאבטח את חשבון האינסטגרם שלכם: רשימת בדיקה בת 9 שלבים

השתלטות על חשבונות אינסטגרם רק לעיתים רחוקות כרוכה במשהו אקזוטי. ברוב המקרים זה מסתכם בסיסמה חלשה או כזו שכבר דלפה במקום אחר, בכניסה ממכשיר שלא שמתם לב אליה, בהודעה שנראתה רשמית אבל לא הייתה, או באפליקציה שמסרתם לה את פרטי הכניסה ושכחתם ממנה.

תשעת השלבים שלפניכם סוגרים כל אחד מהפתחים האלה, בסדר כזה שהפחתת הסיכון הגדולה ביותר מגיעה ראשונה.

אודות המקורות בדף הזה. ההגדרות, הנתיבים והכללים שלהלן מגיעים ממרכז העזרה של אינסטגרם וממרכז החדשות של Meta עצמה, וכל סעיף מקשר לעמוד המדויק שממנו הגיע. שתי טענות מגיעות ממקורות מחוץ ל-Meta ומסומנות במקום שבו הן מופיעות: Check Point Research, לגבי התדירות שבה מתחזים לאינסטגרם, וצוות אבטחת הסייבר של אוניברסיטת מסריק, לגבי מה שמנהל סיסמאות עושה בפועל. SocialGuardian הוא המוצר שלנו — היכן שהוא מופיע הוא מסומן כקידום מכירות, והדבר היחיד שהוא טוען לעשות הוא לגבות את התוכן שלכם.

גרסת 30 השניות

• הפעילו אימות דו-שלבי ושמרו את קודי הגיבוי שלכם.
• הפכו את סיסמת האינסטגרם שלכם לארוכה, ייחודית ושלא השתמשתם בה בשום מקום אחר.
• עברו על כל מכשיר שמחובר כעת לחשבון והוציאו את אלה שאינכם מזהים.
• הריצו את בדיקת האבטחה (Security Checkup) אם משהו נראה חשוד.
• הניחו שכל הודעה פרטית (DM) על החשבון שלכם היא הונאה — אינסטגרם לא שולחת כאלה.
• בטלו גישה לאפליקציות צד שלישי שאינכם סומכים עליהן.
• שמרו עותק של התוכן שלכם במקום שאינסטגרם לא תוכל לחסום אתכם ממנו.

מה באמת גורם להשתלטות על חשבונות אינסטגרם

אינסטגרם עצמה מסמנת חשבון כבעל סיכון בשלושה מצבים: הסיסמה שלכם חלשה, ייתכן שהסיסמה נחשפה או נפגעה ממקור חיצוני, או שהחשבון מסונכרן עם אפליקציית צד שלישי לא מורשית. המקרה הנפוץ הוא שימוש חוזר בסיסמה — השתמשתם באותה סיסמה באתר אחר, ולאותו אתר הייתה פרצת אבטחה, לפי אינסטגרם.

המסלול הגדול הנוסף הוא פישינג: הודעה או קישור חשודים שמבקשים את הפרטים האישיים שלכם, ולעיתים קרובות טוענים שהחשבון שלכם ייחסם או יימחק אם לא תפעלו, כפי שאינסטגרם מתארת זאת.

זה לא תיאורטי. בדוח פישינג המותגים לרבעון השני של 2024 של Check Point Research, אינסטגרם חזרה לעשרת המותגים שהכי מתחזים אליהם במתקפות פישינג — מקום 10, 0.7% מאירועי פישינג המותגים — לראשונה מאז 2022, והחוקרים זיהו דפי כניסה מזויפים של אינסטגרם שנבנו במיוחד כדי לגנוב פרטי כניסה.

שלב 1 — הפעלת אימות דו-שלבי

אינסטגרם מכנה אימות דו-שלבי "השלב היעיל ביותר להגנה על החשבון מפני האקרים", ואומרת שהפעילה אותו כברירת מחדל לחשבונות יוצרים — אז אם יש לכם חשבון כזה, בדקו שלא כיביתם אותו בשלב מסוים, לפי הנחיות האבטחה של אינסטגרם.

הנה החלק שמבלבל אנשים: אימות דו-שלבי לא מבקש מכם קוד בכל פעם שאתם פותחים את האפליקציה. הוא דורש קוד רק אם יש ניסיון כניסה ממכשיר שאינסטגרם לא מזהה, לפי מרכז העזרה של אינסטגרם. ביום-יום, בטלפון האישי שלכם, לא תרגישו בו.

כדי להפעיל: עוד → הגדרות → הצג עוד במרכז החשבונות → סיסמה ואבטחה → אימות דו-שלבי.

יש יתרון שני שלא נראה לעין במסך ההגדרות. כשהאימות הדו-שלבי פעיל, אתם מקבלים התראה בכל פעם שמישהו מנסה להיכנס ממכשיר או דפדפן שאינסטגרם לא מזהה. ההתראה אומרת לכם איזה מכשיר ניסה להיכנס ומאיפה הוא מחובר, ואפשר לאשר או לדחות את הבקשה מיד ממכשיר שכבר מחוברים בו, כפי שמסבירה Meta. כך ניסיון השתלטות הופך להתראה שאפשר לבטל בנגיעה אחת.

באיזו שיטת אימות דו-שלבי כדאי לבחור?

כשאתם מגדירים אימות דו-שלבי, אינסטגרם מבקשת מכם לבחור אחת משלוש שיטות אבטחה — ואימייל אינו אחת מהן, לפי אינסטגרם.

אם אין לכם העדפה ברורה, לכו לפי ההמלצה של אינסטגרם והשתמשו באפליקציית אימות.

שלב 2 — שמירת קודי הגיבוי

אם איבדתם גישה לטלפון או לכתובת האימייל ואינכם יכולים לקבל קודי כניסה, קוד גיבוי הוא מה שיחזיר אתכם פנימה, אומרת אינסטגרם. צרו אותם כשאתם מפעילים אימות דו-שלבי ושמרו אותם במקום שאינו הטלפון שהם מגנים עליו.

שלב 3 — בחירת סיסמה חדשה

כללי הסיסמה שפרסמה אינסטגרם הם מפורשים, אז הנה הם בלי קישוטים. הסיסמה שלכם חייבת להכיל לפחות שישה תווים, אבל אינסטגרם ממליצה על לפחות שמונה לאבטחה גבוהה יותר, עם שילוב של מספרים, אותיות ותווים מיוחדים. היא צריכה להיות שונה מהסיסמאות שאתם משתמשים בהן לחשבונות אחרים, כמו האימייל או חשבון הבנק שלכם, וכדאי להימנע ממידע קל לניחוש כמו תאריך הלידה או מספר הטלפון — זו ההנחיה של אינסטגרם עצמה.

עמוד האבטחה של אינסטגרם מוסיף שני כללים נוספים: השתמשו בשילוב של לפחות שישה תווים — מספרים, אותיות ותווים מיוחדים (כמו !$@%) והשתדלו להימנע מחזרות, ולעולם אל תמסרו את הסיסמה למי שאינכם מכירים ובוטחים בו. כמו כן, היא ממליצה להשתמש במנהל סיסמאות חיצוני, ומציינת בשם את LastPass ו-1Password, באותו מאמר עזרה.

אם אתם לא בטוחים למה מנהל סיסמאות עוזר: הוא מאחסן ומצפין את פרטי הכניסה שלכם, כך שרק צריך לזכור סיסמת אב אחת חזקה, הוא מייצר סיסמאות מאובטחות וממלא אותן אוטומטית בכניסה — לפי צוות אבטחת הסייבר של אוניברסיטת מסריק, מקור חיצוני לאינסטגרם. זה התרופה המעשית לשימוש החוזר בסיסמאות שגורם לחשבונות להיסמן מלכתחילה.

שלב 4 — בדקו היכן אתם מחוברים

בכל רגע אפשר לראות רשימה של מכשירים שנכנסו לחשבון האינסטגרם שלכם לאחרונה. אם אתם לא מזהים כניסה עדכנית, אתם יכולים להתנתק מאותו מיקום או מכשיר ולהודיע לאינסטגרם שהכניסה לא הייתה שלכם, כפי שמתאר מרכז העזרה.

שני נתיבים לאותה רשימה:

• הגדרות → מרכז החשבונות → סיסמה ואבטחה → "היכן שאתם מחוברים"
• הגדרות → פעילות כניסה

עבור כל כניסה אפשר לאשר זה הייתי אני או לסמן זה לא הייתי אני — וסימון כניסה כ"לא אני" גורם לאיפוס סיסמה. אפשר גם להתנתק מכל מכשיר מרחוק. עשו זאת לפני שאתם משנים את הסיסמה, כדי שתדעו מול מה אתם מסתכלים.

שלב 5 — הרצת בדיקת האבטחה של אינסטגרם

בדיקת האבטחה (Security Checkup) היא מסלול ייעודי לחשבונות שאולי נפרצו. היא הושקה ביולי 2021 ומדריכה אתכם בבדיקת פעילות כניסה, סקירת פרטי הפרופיל, אישור החשבונות שחולקים את פרטי הכניסה, ועדכון פרטי קשר לשחזור חשבון, כמו מספר טלפון או אימייל, לפי מרכז החדשות של Meta.

זו הדרך המהירה ביותר לכסות את שלבים 1, 4 ו-6 במעבר אחד אם אתם חושדים שמשהו כבר קרה.

שלב 6 — איך לזהות הודעה אמיתית מאינסטגרם

זה הדבר השימושי ביותר בעמוד הזה, כי הוא גורם לרוב ניסיונות הפישינג להיכשל ברגע שרואים אותם:

אינסטגרם לעולם לא תשלח לכם הודעה פרטית (DM) על החשבון שלכם. הודעות שטוענות שהחשבון שלכם בסכנת חסימה או מפר מדיניות הן הונאה. אם אינסטגרם רוצה ליצור איתכם קשר בנוגע לחשבון, היא עושה זאת דרך לשונית "אימיילים מאינסטגרם" בהגדרות — המקום היחיד שבו תמצאו תקשורת ישירה ואותנטית מאינסטגרם בתוך האפליקציה, לפי Meta.

זה נותן לכם בדיקת אימות בת שלב אחד לכל הודעה מדאיגה: פותחים את ההגדרות, בודקים את לשונית "אימיילים מאינסטגרם" ורואים אם ההודעה שם. אם היא לא שם, היא לא מאינסטגרם.

לגבי אימיילים, אפשר לוודא שהשולח קשור ל-Meta על ידי בדיקת הכתובת, שעשויה לכלול [email protected], [email protected], @fb.com, @meta.com או @account.meta.com. אל תאמינו להודעות שדורשות כסף, מציעות מתנות או מאיימות למחוק או לחסום את החשבון שלכם, ולעולם אל תלחצו על קישורים חשודים ואל תשיבו עם הסיסמה, מספר תעודת זהות או פרטי כרטיס אשראי — הנחיות הפישינג של אינסטגרם מכסות את כל זה.

אם כבר נפלתם קורבן לפישינג: אפסו את הסיסמה, התנתקו ממכשירים שאינם שלכם, ודווחו על האימייל החשוד לכתובת [email protected].

שלב 7 — ביטול גישה לאפליקציות צד שלישי שאינכם סומכים עליהן

היזהרו כשאתם מאשרים אפליקציית צד שלישי כלשהי, ולעולם אל תשתפו את פרטי הכניסה שלכם עם אפליקציה שאינכם סומכים עליה. אם אתם נותנים לאפליקציה את פרטי הכניסה — בין אם באמצעות אסימון גישה (access token) ובין אם על ידי מסירת שם המשתמש והסיסמה — היא יכולה לקבל גישה מלאה לחשבון שלכם, מזהירה אינסטגרם.

כדי לנקות את אלה שאתם לא בטוחים בהם, בטלו גישה לכל אפליקציית צד שלישי חשודה בכתובת instagram.com/accounts/manage_access, שזה המסלול שאינסטגרם נותנת לחשבונות שנפרצו או בסיכון.

שלב 8 — התנתקות ממכשירים משותפים

התנתקו מאינסטגרם כשאתם משתמשים במחשב או בטלפון שאתם חולקים עם אחרים, ואל תסמנו את תיבת "זכור אותי" כשאתם נכנסים ממחשב ציבורי — היא שומרת עליכם מחוברים גם אחרי סגירת חלון הדפדפן, אומרת אינסטגרם.

שלב 9 — שמירת עותק של התוכן מחוץ לאינסטגרם

שלבים 1 עד 8 מגנים על הגישה לחשבון. אף אחד מהם לא מגן על הדבר שלקח לכם שנים ליצור.

אינסטגרם אכן מאפשרת לקחת את הנתונים אתכם: עברו אל מרכז החשבונות → המידע וההרשאות שלכם → ייצוא המידע שלכם, וייצאו למכשיר או לשירות חיצוני. הייצוא הוא תהליך מוגן סיסמה — וייתכן שיחלפו עד 30 יום עד שאינסטגרם תשלח לכם באימייל את קישור הייצוא, לפי אינסטגרם.

עד 30 יום זה בסדר לארכיון מתוכנן. אבל זה לא מתאים כתוכנית שחזור ליום שבו תינעלו בחוץ, כי את הייצוא מבקשים אחרי שאיבדתם את הגישה — וזה בדיוק הרגע שבו אי אפשר.

אם החשבון שלכם כבר נפרץ

התחילו בכתובת instagram.com/hacked בדפדפן במחשב או בנייד כדי לאבטח את החשבון, וודאו גם שחשבון האימייל שלכם מאובטח — כל מי שיכול לקרוא את האימייל שלכם יכול כנראה גם לגשת לחשבון האינסטגרם, לפי אינסטגרם.

משם, הנחיות השחזור של אינסטגרם נותנות לכם כמה מסלולים, וכדאי להכיר את כולם לפני שאתם צריכים אותם:

• בדקו את האימייל שלכם אחר הודעה מ-[email protected]. אם התוקף שינה את כתובת האימייל בחשבון, ייתכן שההודעה הזאת תאפשר לכם לבטל את שינוי האימייל.
• בקשו קישור כניסה לכתובת האימייל או למספר הטלפון שלכם דרך "שכחתי סיסמה", כדי שאינסטגרם תוכל לאשר שהחשבון שלכם.
• בקשו קוד אבטחה או תמיכה אם קישור הכניסה לא מגיע אליכם.
• אמתו את זהותכם עם סלפי וידאו. אם תבקשו תמיכה עבור חשבון שיש בו תמונות שלכם, תתבקשו להקליט סלפי וידאו שבו אתם מסובבים את הראש לכיוונים שונים. הסרטון לעולם לא מוצג באינסטגרם ונמחק תוך 30 יום.

אם אתם עדיין יכולים להיכנס, עברו על הרשימה הזאת במקום — אותו מקור:

• שנו את הסיסמה, או שלחו לעצמכם אימייל לאיפוס סיסמה (instagram.com/accounts/password/change/).
• הפעילו אימות דו-שלבי.
• ודאו שמספר הטלפון וכתובת האימייל בהגדרות החשבון נכונים.
• בדקו את מרכז החשבונות והסירו כל חשבון מקושר שאינכם מזהים.
• בטלו גישה לכל אפליקציית צד שלישי חשודה.

חשבונות בסיכון גבוה: ההגנה המתקדמת של אינסטגרם

חלק מחשבונות האינסטגרם נחשבים פגיעים במיוחד להונאות ולניסיונות פריצה — מנויי Meta Verified, בעלי עסקים, פוליטיקאים, עיתונאים ומפרסמים. עבורם, אימות דו-שלבי אינו רשות: ההגנה המתקדמת (Advanced Protection) של אינסטגרם הופכת אותו לחובה, ואם לא נרשמתם בתוך תקופת החסד שניתנה לכם, החשבון יינעל עד שתשלימו את ההרשמה, לפי אינסטגרם. השיטות הזמינות הן אותן שלוש: אפליקציית אימות (מומלצת), SMS או WhatsApp.

אם אתם באחת הקטגוריות האלה, הירשמו לפני שתקופת החסד מסתיימת — במקום לגלות את הנעילה.

סיכום מהיר: איפה כל הגדרה נמצאת

ההרגל היחיד שכדאי לשמור עליו

הגדרות האבטחה הן עבודה חד-פעמית שכדאי לבדוק מחדש פעמיים בשנה: אימות דו-שלבי עדיין פעיל, אין מכשירים לא מוכרים ברשימת הכניסות, אין אפליקציות צד שלישי שאינכם מזהים, והסיסמה עדיין ייחודית לאינסטגרם.

הגיבוי הוא החלק שצריך להמשיך לרוץ מעצמו, כי היום שבו תצטרכו אותו הוא היום שבו אי אפשר יהיה להגדיר אותו.