Instagram-gebruikers zijn het doelwit van een phishingaanval, waarbij wordt geprobeerd hun back-upcodes te stelen zodat aanvallers de tweefactorauthenticatie (2FA) kunnen omzeilen, zo meldt securitybedrijf Trustwave. Instagram biedt gebruikers de optie om hun account door middel van 2FA te beveiligen. In het geval gebruikers de vereiste 2FA-code niet kunnen genereren, bijvoorbeeld omdat ze hun telefoon kwijt zijn, kan er door middel van een back-upcode toch toegang tot het account worden verkregen.Back-upcodes bestaan uit acht cijfers en zijn eenmalig te gebruiken. Gebruikers kunnen wanneer ze op hun account zijn ingelogd een nieuwe lijst met codes genereren. De phishingmails die de aanvallers versturen stellen dat er copyrightklachten over het account van de gebruiker zijn binnengekomen. De link naar het 'bezwaarformulier' wijst echter naar een phishingsite.

De website vraagt gebruikers om hun inloggegevens, alsmede of ze voor hun account 2FA hebben ingeschakeld. Als de gebruiker hier bevestigend op antwoordt vraagt de phishingsite om een back-upcode, gevolgd door het telefoonnummer en e-mailadres. "Er zijn zoveel manieren om op Instagram in te loggen en cybercriminelen maken hier misbruik van", aldus Trustwave.