L’assunzione errata è che l’account recovery sia più sicura del login. Qui, il canale di reset stesso forniva accesso quando l’email di destinazione non era collegata all’account, quindi cambiare la password poteva diventare il modo di entrare dell’attacker se la 2FA era disattivata.
Part of the PlainSec briefing for 2026-06-08
Every edition of this story: Instagram Recovery è diventata il percorso di takeover