Slik sikrer du Instagram-kontoen din: 9-trinns sjekkliste

Instagram-kontoer blir sjelden overtatt på noe eksotisk vis. Det handler som regel om et passord som var svakt eller allerede lekket et annet sted, en pålogging fra en enhet du aldri la merke til, en melding som så offisiell ut, men som ikke var det, eller en app du ga legitimasjonen din til og glemte.

De ni trinnene nedenfor lukker hver sin av disse dørene, sortert slik at den største risikoreduksjonen kommer først.

Om kildene på denne siden. Innstillingene, stiene og reglene nedenfor kommer fra Instagrams hjelpesenter og Metas eget nyhetsrom, og hver seksjon lenker til den nøyaktige siden den kommer fra. To påstander kommer fra kilder utenfor Meta og er merket der de opptrer: Check Point Research, for hvor ofte Instagram blir etterlignet, og Masaryk-universitetets cybersikkerhetsteam, for hva en passordbehandler faktisk gjør. SocialGuardian er vårt eget produkt – der det opptrer, er det merket som reklame, og det eneste det hevder å gjøre, er å sikkerhetskopiere innholdet ditt.

30-sekundersversjonen

• Slå på tofaktorautentisering og lagre sikkerhetskodene dine.
• Gjør Instagram-passordet ditt langt, unikt og ikke noe du har brukt andre steder.
• Se på alle enhetene som er logget på nå, og fjern dem du ikke kjenner igjen.
• Kjør sikkerhetssjekken hvis noe ser galt ut.
• Anta at enhver DM om kontoen din er svindel – Instagram sender ikke slike.
• Tilbakekall tredjepartsapper du ikke stoler på.
• Ha en kopi av innholdet ditt et sted Instagram ikke kan låse deg ute fra.

Hva som faktisk fører til at Instagram-kontoer blir overtatt

Instagram selv flagger en konto som risikoutsatt i tre situasjoner: passordet ditt er svakt, passordet ditt kan ha blitt eksponert eller kompromittert av en ekstern kilde, eller kontoen din er synkronisert med en uautorisert tredjepartsapp. Det vanligste tilfellet er passordgjenbruk – du har brukt samme passord på et annet nettsted, og det nettstedet hadde lekkasjen, ifølge Instagram.

Den andre store vektoren er phishing: en mistenkelig melding eller lenke som ber om personopplysningene dine, ofte med påstand om at kontoen din vil bli utestengt eller slettet hvis du ikke handler, slik Instagram beskriver det.

Det er ikke hypotetisk. I Check Point Researchs Brand Phishing Report for Q2 2024 kom Instagram igjen inn på topp 10 over de mest etterlignede merkene i phishing-angrep – 10. plass, 0,7 % av merkevare-phishing-hendelsene – for første gang siden 2022. Forskerne observerte også falske Instagram-påloggingssider bygget spesifikt for å høste legitimasjon.

Trinn 1 – Slå på tofaktorautentisering

Instagram kaller tofaktorautentisering «det ene mest effektive tiltaket for å beskytte kontoen din mot hackere», og sier at de skrudde på 2FA som standard for skaperkontoer – så hvis du har en, sjekk at du ikke skrudde den av på et tidspunkt, ifølge Instagrams sikkerhetsveiledning.

Her er det mange som snubler: 2FA ber deg ikke om en kode hver gang du åpner appen. Den krever en kode hvis det er et påloggingsforsøk fra en enhet Instagram ikke kjenner igjen, ifølge Instagrams hjelpesenter. I hverdagen, på din egen telefon, merker du det ikke.

Du setter det opp slik: Mer → Innstillinger → Se mer i Kontosenter → Passord og sikkerhet → Tofaktorautentisering.

Det er en ekstra fordel som ikke er åpenbar fra innstillingsskjermen. Med 2FA på får du et varsel hver gang noen prøver å logge på fra en enhet eller nettleser Instagram ikke kjenner igjen. Varselet forteller deg hvilken enhet som prøvde og hvor den befinner seg, og du kan godkjenne eller avvise forespørselen umiddelbart fra en enhet du allerede er logget på, som Meta forklarer. Det gjør et overtakelsesforsøk om til et varsel du kan avverge med ett trykk.

Hvilken 2FA-metode bør du velge?

Når du setter opp tofaktorautentisering, ber Instagram deg velge én av tre sikkerhetsmetoder – og e-post er ikke en av dem, ifølge Instagram.

Hvis du ikke har noen sterk preferanse, følg Instagrams egen anbefaling og bruk en autentiseringsapp.

Trinn 2 – Lagre sikkerhetskodene dine

Hvis du mister tilgangen til telefonen eller e-postadressen og ikke får tak i påloggingskoder, er en sikkerhetskode det som slipper deg inn igjen, sier Instagram. Generer dem når du aktiverer 2FA, og oppbevar dem et annet sted enn telefonen de beskytter.

Trinn 3 – Fiks passordet ditt

Instagrams publiserte passordregler er spesifikke, så her er de uten utsmykning. Passordet ditt må være minst seks tegn, men Instagram anbefaler minst åtte for høyere sikkerhet, med en kombinasjon av tall, bokstaver og spesialtegn. Det bør være forskjellig fra passordene du bruker for andre kontoer, som e-post eller bankkontoen din, og du bør unngå lett gjettbar informasjon som fødselsdatoen eller telefonnummeret ditt – det er Instagrams egen veiledning.

Instagrams sikkerhetsside legger til ytterligere to regler: bruk en kombinasjon av minst seks tall, bokstaver og spesialtegn (som !$@%), unngå gjentakelse, og aldri gi passordet ditt til noen du ikke kjenner og stoler på. Den anbefaler også å bruke en tredjeparts passordbehandler, og nevner LastPass og 1Password, i samme hjelpeartikkel.

Hvis du ikke er sikker på hvorfor en passordbehandler hjelper: den lagrer og krypterer påloggingsinformasjonen din slik at du bare trenger å huske ett sterkt hovedpassord. Den genererer sikre passord og fyller dem inn automatisk ved pålogging – ifølge Masaryk-universitetets cybersikkerhetsteam, en kilde utenfor Instagram. Det er den praktiske kuren mot passordgjenbruken som i utgangspunktet fører til at kontoer flagges.

Trinn 4 – Sjekk hvor du er logget på

Du kan når som helst se en liste over enheter som nylig har logget på Instagram-kontoen din. Hvis du ikke kjenner igjen en nylig pålogging, kan du logge ut fra det stedet eller den enheten og fortelle Instagram at påloggingen ikke var deg, som hjelpesenteret beskriver.

To veier til samme liste:

• Innstillinger → Kontosenter → Passord og sikkerhet → «Hvor du er logget på»
• Innstillinger → Påloggingsaktivitet

For hver pålogging kan du bekrefte Dette var meg eller markere Dette var ikke meg – og å markere en pålogging som «Dette var ikke meg» utløser en passordtilbakestilling. Du kan også logge ut fra hvilken som helst enhet eksternt. Gjør dette før du endrer passordet, så vet du hva du ser på.

Trinn 5 – Kjør Instagrams sikkerhetssjekk

Sikkerhetssjekk (Security Checkup) er en dedikert flyt for kontoer som kan ha blitt hacket. Den ble lansert i juli 2021 og går gjennom å sjekke påloggingsaktivitet, gjennomgå profilinformasjon, bekrefte kontoene som deler påloggingsinformasjon, og oppdatere kontaktinformasjonen for kontogjenoppretting, som telefonnummer eller e-post, ifølge Metas nyhetsrom.

Det er den raskeste måten å dekke trinn 1, 4 og 6 i én gjennomgang hvis du mistenker at noe allerede har skjedd.

Trinn 6 – Lær hvordan en ekte Instagram-melding ser ut

Dette er det mest nyttige enkeltgrepet på denne siden, fordi det gjør at det meste av phishing mislykkes ved første øyekast:

Instagram vil aldri sende deg en DM om kontoen din. Meldinger som hevder at kontoen din risikerer å bli utestengt eller at du bryter retningslinjene, er svindel. Hvis Instagram vil nå deg om kontoen din, gjør de det via «E-poster fra Instagram»-fanen i innstillingene dine – det eneste stedet du finner direkte og autentisk kommunikasjon fra Instagram i appen, ifølge Meta.

Det gir deg en ett-trinns verifisering for enhver alarmerende melding: Åpne Innstillinger, sjekk «E-poster fra Instagram»-fanen, og se om meldingen er der. Hvis den ikke er det, er den ikke fra Instagram.

For e-poster kan du bekrefte at avsenderen er tilknyttet Meta ved å sjekke adressen, som kan inkludere [email protected], [email protected], @fb.com, @meta.com eller @account.meta.com. Ikke stol på meldinger som krever penger, tilbyr gaver eller truer med å slette eller utestenge kontoen din, og klikk aldri på mistenkelige lenker eller svar med passordet ditt, personnummeret eller kredittkortopplysningene dine – Instagrams phishing-veiledning dekker alt dette.

Hvis du allerede er blitt utsatt for phishing: tilbakestill passordet, logg ut fra enheter du ikke eier, og meld fra om den merkelige e-posten til [email protected].

Trinn 7 – Tilbakekall tredjepartsapper du ikke stoler på

Vær forsiktig når du autoriserer en tredjepartsapp, og del aldri påloggingsinformasjonen din med en app du ikke stoler på. Hvis du gir en app påloggingsinformasjonen din – enten med et tilgangstoken eller ved å overlevere brukernavnet og passordet ditt – kan den få full tilgang til kontoen din, advarer Instagram.

For å rydde opp i dem du er usikker på, tilbakekall tilgangen til mistenkelige tredjepartsapper på instagram.com/accounts/manage_access, som er veien Instagram gir for hackede og risikoutsatte kontoer.

Trinn 8 – Logg ut på enheter du deler

Logg ut av Instagram når du bruker en datamaskin eller telefon du deler med andre, og ikke kryss av for «Husk meg» når du logger på fra en offentlig datamaskin – det holder deg logget på selv etter at du lukker nettleservinduet, sier Instagram.

Trinn 9 – Ha en kopi av innholdet ditt utenfor Instagram

Trinn 1 til 8 beskytter tilgangen til kontoen. Ingen av dem beskytter det som faktisk tok deg år å lage.

Instagram lar deg ta med deg dataene dine: gå til Kontosenter → Din informasjon og tillatelser → Eksporter informasjonen din, og eksporter til enheten din eller til en ekstern tjeneste. Eksportering er en passordbeskyttet prosess – og det kan ta opptil 30 dager før Instagram sender deg eksportlenken på e-post, ifølge Instagram.

Opptil 30 dager er greit for et planlagt arkiv. Det er ikke greit som gjenopprettingsplan den dagen du blir låst ute, fordi du ber om eksporten etter at du har mistet tilgangen – og det er nettopp da du ikke kan.

Hvis kontoen din allerede er hacket

Start på instagram.com/hacked i nettleseren på datamaskinen eller mobilen for å sikre kontoen, og forsikre deg om at e-postkontoen din også er sikker – alle som kan lese e-posten din, kan sannsynligvis også få tilgang til Instagram-kontoen din, ifølge Instagram.

Derfra gir Instagrams gjenopprettingsveiledning deg flere veier, og det er verdt å kjenne dem alle før du trenger dem:

• Sjekk e-posten din for en melding fra [email protected]. Hvis angriperen endret e-postadressen på kontoen din, kan den meldingen la deg angre endringen.
• Be om en påloggingslenke til e-postadressen eller telefonnummeret ditt via «Glemt passord», så Instagram kan bekrefte at du eier kontoen.
• Be om en sikkerhetskode eller brukerstøtte hvis påloggingslenken ikke når frem til deg.
• Bekreft identiteten din med en videoselfie. Hvis du ber om brukerstøtte for en konto med bilder av deg, blir du bedt om å ta en videoselfie der du vender hodet i ulike retninger. Videoen er aldri synlig på Instagram og slettes innen 30 dager.

Hvis du fortsatt kan logge på, jobb deg gjennom denne listen i stedet – samme kilde:

• Endre passordet ditt, eller send deg selv en e-post for passordtilbakestilling (instagram.com/accounts/password/change/).
• Slå på tofaktorautentisering.
• Bekreft at telefonnummeret og e-postadressen din i kontoinnstillingene er riktige.
• Sjekk Kontosenter og fjern eventuelle koblede kontoer du ikke kjenner igjen.
• Tilbakekall tilgangen til mistenkelige tredjepartsapper.

Kontoer med høy risiko: Instagrams avanserte beskyttelse

Noen Instagram-kontoer regnes som spesielt utsatt for svindel og hackingforsøk – Meta Verified-abonnenter, bedriftseiere, politikere, journalister og annonsører. For disse er tofaktorautentisering ikke valgfritt: Instagrams avanserte beskyttelse (Advanced Protection) gjør den obligatorisk, og hvis du ikke har registrert deg innen den angitte fristen, blir kontoen din låst til du fullfører registreringen, ifølge Instagram. Tilgjengelige metoder er de samme tre: autentiseringsapp (anbefalt), SMS eller WhatsApp.

Hvis du er i en av disse kategoriene, registrer deg før fristen løper ut, i stedet for å oppdage låsen.

Hurtigreferanse: hvor du finner hver innstilling

Den ene vanen som er verdt å beholde

Sikkerhetsinnstillinger er en engangsjobb du bør gjennomgå på nytt to ganger i året: 2FA fortsatt på, ingen ukjente enheter i påloggingslisten, ingen tredjepartsapper du ikke kjenner igjen, passordet fortsatt unikt for Instagram.

Sikkerhetskopieringen er den delen som må fortsette å kjøre av seg selv, fordi den dagen du trenger den, er den dagen du ikke kan sette den opp.