آموزش افزایش امنیت پیج اینستاگرام بر اساس پروتکل 2026

چند وقت پیش، مدیر یک فروشگاه با اضطراب تماس گرفت و گفت: «اینستاگرام همه ادمین‌ها رو بیرون انداخته، رمز رو هم اشتباه می‌زنه. یکی گفته با پرداخت پول امنیت پیج رو تضمین می‌کنه.»

وقتی پیج را بررسی کردیم، خبری از حمله پیچیده نبود. رمز پیج بین چند نفر پخش شده بود، یکی از ادمین‌ها از اپلیکیشن ناشناس آنفالویاب استفاده کرده بود و ایمیل بازیابی هم رمزی داشت که در چند سایت دیگر تکرار شده بود.

امنیت پیج شبیه قفل کردن یک ساختمان است. بهترین قفل دنیا هم فایده ندارد اگر کلیدش بین ده نفر پخش شده باشد، پنجره پشتی باز بماند و نگهبان هر پیام ناشناسی را باور کند.

امنیت پیج اینستاگرام یعنی جلوگیری از ورود غیرمجاز، سرقت اطلاعات، تغییر مالکیت، سوءاستفاده از دسترسی‌ها و قفل شدن اکانت.

امن‌سازی کامل فقط تغییر رمز نیست. امنیت پیج چهار لایه اصلی دارد:

1. امنیت ورود: رمز، احراز هویت دومرحله‌ای، ایمیل، شماره تلفن و کدهای پشتیبان
2. امنیت نشست‌ها: دستگاه‌های واردشده، درخواست‌های ورود و خروج نشست‌های ناشناس
3. امنیت دسترسی‌ها: ادمین‌ها، Meta Business Suite، صفحه فیسبوک و اپلیکیشن‌های متصل
4. امنیت رفتاری: مقابله با فیشینگ، ابزارهای غیررسمی، فیلترشکن‌های نامعتبر و رفتارهای اسپم‌گونه

در بیشتر موارد، هک اینستاگرام نتیجه یک حمله فوق‌پیشرفته نیست. مهاجم معمولاً از یکی از این درهای ساده وارد می‌شود:

• رمز تکراری یا ضعیف
• صفحه ورود جعلی
• دریافت کد 2FA از صاحب پیج
• دسترسی ادمین قبلی
• ایمیل هک‌شده
• اپلیکیشن آنفالویاب یا افزایش فالوور
• دستگاه آلوده
• اطلاعات ورود ذخیره‌شده روی گوشی مشترک

برای اجرای تنظیمات پایه امنیت اینستاگرام نیازی به پرداخت پول ندارید.

فعال کردن 2FA، تغییر رمز، بررسی نشست‌ها، دریافت کد پشتیبان و حذف دسترسی‌های مشکوک، همگی از داخل تنظیمات رسمی اینستاگرام انجام می‌شوند.

هیچ فردی نمی‌تواند یک پیج را «صددرصد غیرقابل هک» کند. امنیت مطلق وجود ندارد؛ هدف این است که احتمال حمله را تا حد زیادی کاهش دهیم و در صورت وقوع مشکل، مسیر بازگردانی داشته باشیم.

پرداخت هزینه فقط در شرایط تخصصی می‌تواند منطقی باشد؛ مثلاً:

• بررسی بدافزار روی گوشی یا کامپیوتر
• پاک‌سازی دسترسی‌های پیچیده Meta Business Suite
• مدیریت یک حادثه امنیتی سازمانی
• تدوین دستورالعمل دسترسی برای تیم بزرگ
• مشاوره حقوقی درباره سرقت یا اخاذی
• بازیابی دارایی‌های تجاری متصل به چند حساب

اما حتی متخصص واقعی نیز نباید رمز ایمیل، رمز اینستاگرام، کد Authenticator یا Backup Code شما را درخواست کند.

هرکس رمز، کد دومرحله‌ای یا مالکیت ایمیل شما را بخواهد، خطر امنیتی محسوب می‌شود.

نشانه‌های فرد یا مجموعه غیرقابل‌اعتماد عبارت‌اند از:

• ادعا می‌کند داخل متا آشنا دارد.
• امنیت صددرصدی یا بازگردانی قطعی تضمین می‌کند.
• رمز اینستاگرام یا ایمیل را می‌خواهد.
• کد 2FA یا کد پشتیبان درخواست می‌کند.
• می‌خواهد ایمیل یا شماره خودش را به پیج اضافه کند.
• از شما می‌خواهد نرم‌افزار کنترل از راه دور نصب کنید.
• می‌گوید برای امن شدن باید یک «کد مخفی» بخرید.
• اصرار دارد اکانت را به Business Manager خودش منتقل کنید.
• بدون بررسی وضعیت، فوراً مبلغ سنگین مطالبه می‌کند.
• برای ترساندن شما از اصطلاحات فنی نامفهوم استفاده می‌کند.
• می‌گوید می‌تواند گزارش‌ها یا محدودیت‌های متا را با رابطه حذف کند.

امنیت واقعی شفاف است. متخصص معتبر توضیح می‌دهد چه کاری انجام می‌شود، چرا لازم است و کدام دسترسی در اختیار چه کسی خواهد بود.

این ۱۵ اقدام، پایه اصلی پروتکل امنیت پیج در سال ۲۰۲۶ هستند:

• تأیید ایمیل و شماره تلفن بازیابی
• امن کردن خود ایمیل
• ساخت رمز منحصربه‌فرد
• استفاده از Password Manager
• فعال کردن 2FA با Authenticator
• ذخیره امن Backup Codes
• فعال نگه داشتن Login Requests
• بررسی دستگاه‌های واردشده
• خروج دستگاه‌های ناشناس
• بررسی Recent Emails
• حذف اپلیکیشن‌های مشکوک
• بررسی حساب‌های متصل در Accounts Center
• متوقف کردن اشتراک رمز با ادمین‌ها
• ممیزی Meta Business Suite و صفحه فیسبوک
• ثبت یک برنامه بازیابی اضطراری

در ادامه، هر مرحله را دقیق اجرا می‌کنیم.

قبل از هر کاری مطمئن شوید ایمیل و شماره ثبت‌شده متعلق به خودتان و در دسترس هستند.

اگر مهاجم به ایمیل شما دسترسی پیدا کند، احتمالاً می‌تواند رمز اینستاگرام را بازنشانی کند. به همین دلیل، امنیت ایمیل حتی از خود پیج هم مهم‌تر است.

این خود پیج هم مهم‌تر است.

این اقدامات را انجام دهید:

1. ایمیل ثبت‌شده در اینستاگرام را بررسی کنید.
2. رمز ایمیل را تغییر دهید.
3. رمز ایمیل با رمز اینستاگرام یکسان نباشد.
4. برای ایمیل نیز 2FA فعال کنید.
5. ایمیل و شماره‌های بازیابی ایمیل را بررسی کنید.
6. نشست‌های فعال ایمیل را کنترل کنید.
7. ایمیل کاری پیج را از ایمیل‌های عمومی و ثبت‌نام‌های روزمره جدا کنید.

برای پیج‌های شرکتی بهتر است ایمیل مالکیت، ایمیل شخصی ادمین یا نیروی موقت نباشد. یک ایمیل سازمانی تحت کنترل مدیر کسب‌وکار انتخاب کنید.

رمز مناسب باید طولانی، تصادفی و فقط مخصوص همان اکانت باشد.

از این اطلاعات در رمز استفاده نکنید:

• نام برند
• شماره تماس
• تاریخ تولد
• نام فرزند یا همسر
• نام کاربری پیج
• اعداد ساده مثل ۱۲۳۴۵۶
• عباراتی مثل admin یا password

یک رمز طولانی که با Password Manager ساخته شده، از یک رمز کوتاه و پیچیده‌نما امن‌تر است.

هر پیج، ایمیل و حساب Meta باید رمز جداگانه داشته باشد. اگر یک سایت دیگر هک شود و همان رمز را در اینستاگرام استفاده کرده باشید، مهاجم می‌تواند اطلاعات لو‌رفته را روی پیج شما امتحان کند؛ به این روش Credential Stuffing گفته می‌شود.

تغییر دوره‌ای رمز بدون دلیل ضروری نیست، اما در این شرایط فوراً آن را عوض کنید:

• ورود مشکوک دیده‌اید.
• رمز را برای فرد دیگری فرستاده‌اید.
• ادمین از تیم خارج شده است.
• ایمیل یا دستگاهی آلوده شده است.
• اینستاگرام درباره نشت رمز هشدار داده است.
• رمز در سرویس دیگری تکرار شده است.

بهترین گزینه عملی برای بیشتر کاربران، اپلیکیشن احراز هویت است؛ نه پیامک.

مسیر معمول در اپلیکیشن:

پروفایل ← منو ← Accounts Center یا Meta Account Settings ← Password and Security ← Two-Factor Authentication ← انتخاب اکانت

در این بخش معمولاً یکی از این گزینه‌ها را می‌بینید:

• Authentication App
• Text Message یا SMS
• WhatsApp، در بعضی حساب‌ها

نام و محل گزینه‌ها ممکن است با نسخه اپلیکیشن تفاوت جزئی داشته باشد.

Authenticator بهتر است یا پیامک؟

اپلیکیشن Authenticator معمولاً از پیامک امن‌تر است.

پیامک می‌تواند تحت‌تأثیر مشکلات اپراتور، تعویض غیرمجاز سیم‌کارت یا SIM Swap و رهگیری قرار بگیرد. اپلیکیشن Authenticator کد را روی دستگاه تولید می‌کند و به شبکه پیامکی وابسته نیست.

اپلیکیشن‌هایی مانند Google Authenticator یا Duo Mobile می‌توانند برای این کار استفاده شوند.

بااین‌حال، هیچ کد یک‌بارمصرفی را در صفحه‌ای که از طریق دایرکت، پیامک یا ایمیل ناشناس باز کرده‌اید وارد نکنید. مهاجم می‌تواند هم‌زمان کد شما را در صفحه واقعی استفاده کند.

آیا Passkey از Authenticator امن‌تر است؟

اگر Passkey در حساب شما در دسترس باشد، می‌تواند گزینه قدرتمندی باشد؛ اما فعال بودن آن برای همه حساب‌ها و رابط‌ها یکسان نیست.

Passkey از کلیدهای رمزنگاری دستگاه، اثر انگشت، تشخیص چهره یا قفل دستگاه استفاده می‌کند و مقاومت بیشتری در برابر فیشینگ دارد.

اگر این گزینه را نمی‌بینید، Authenticator همچنان انتخاب مناسب‌تری از SMS است.

Backup Codes باید جایی نگهداری شوند که هم امن باشد و هم هنگام گم شدن گوشی در دسترس بماند.

مسیر معمول:

Accounts Center ← Password and Security ← Two-Factor Authentication ← انتخاب اکانت ← Additional Methods ← Backup Codes

کدها را در این مکان‌ها نگه ندارید:

• دایرکت اینستاگرام
• گروه واتساپ تیم
• Notes بدون قفل
• گالری گوشی مشترک
• ایمیل عمومی شرکت

روش مناسب:

• Password Manager رمزنگاری‌شده
• خزانه امن سازمانی
• نسخه چاپی در محل قفل‌شده
• فایل رمزنگاری‌شده آفلاین

هر Backup Code مثل یک کلید ورود اضطراری است. اگر آن را برای کسی بفرستید، ممکن است بدون دسترسی به گوشی شما وارد اکانت شود.

از بخش Where You’re Logged In می‌توانید نشست‌ها و دستگاه‌های واردشده را ببینید.

مسیر معمول:

Accounts Center ← Password and Security ← Where You’re Logged In

در برخی نسخه‌ها ممکن است این بخش با عنوان Login Activity نمایش داده شود.

این موارد را بررسی کنید:

• نوع دستگاه
• موقعیت تقریبی
• زمان فعالیت
• مرورگر یا اپلیکیشن
• حساب متصل

موقعیت جغرافیایی همیشه دقیق نیست. IP موبایل، اینترنت سازمانی یا VPN ممکن است شهر متفاوتی نشان دهد. بنابراین فقط با دیدن نام شهر وحشت نکنید؛ دستگاه، زمان و الگوی فعالیت را هم بررسی کنید.

اگر نشستی را نمی‌شناسید:

1. از آن دستگاه Log Out کنید.
2. رمز اینستاگرام را تغییر دهید.
3. رمز ایمیل را بررسی کنید.
4. 2FA را فعال یا بازنشانی کنید.
5. اپلیکیشن‌های متصل را بررسی کنید.
6. حساب‌های ناشناس را از Accounts Center حذف کنید.

نه همیشه؛ اما تغییر سریع کشور، دستگاه و IP می‌تواند سیستم امنیتی اینستاگرام را حساس کند.

اینستاگرام ممکن است ورود از دستگاه یا مرورگر ناشناس را با کد، اعلان امنیتی یا تأیید هویت بررسی کند.

مثلاً اگر یک نفر چند دقیقه قبل با IP آلمان فعال بوده و بعد همان حساب از IP آمریکا وارد شود، سیستم ممکن است احتمال دسترسی غیرمجاز را بررسی کند.

این مسئله برای تیم‌هایی که ادمین‌هایشان در کشورهای مختلف هستند مهم‌تر است. راه‌حل این نیست که همه رمز مشترک داشته باشند؛ باید از Shared Access، Meta Business Suite یا دسترسی‌های نقش‌محور استفاده شود.

استفاده از VPN به‌تنهایی به معنی هک شدن یا بن قطعی اکانت نیست؛ مشکل اصلی شبکه ناپایدار، IPهای بدنام و تغییر مداوم موقعیت است.

برای کاربران داخل ایران، استفاده از ابزار تغییر IP گاهی اجتناب‌ناپذیر است. برای کاهش خطر:

• از سرویس ناشناس و رایگان استفاده نکنید.
• تا حد ممکن یک کشور و سرور ثابت داشته باشید.
• هنگام کار حساس دائماً بین سرورها جابه‌جا نشوید.
• از اپلیکیشن‌های دستکاری‌شده اینستاگرام استفاده نکنید.
• کانفیگ را از کانال‌های عمومی و ناشناس نگیرید.
• روی دستگاه اصلی پیج نرم‌افزارهای نامعتبر نصب نکنید.
• هنگام بازیابی اکانت از دستگاه و شبکه آشنا استفاده کنید.
• بین چند کشور در فاصله کوتاه پرش نکنید.

آیا صاحب VPN می‌تواند رمز اینستاگرام را ببیند؟

در یک اتصال HTTPS سالم، اپراتور VPN نباید بتواند محتوای رمزنگاری‌شده، رمز عبور یا Session Token اینستاگرام را مستقیم بخواند.

بااین‌حال، سرویس نامعتبر همچنان خطرهایی دارد:

• مشاهده متادیتای اتصال
• ثبت مقصدها و زمان استفاده
• ارائه اپلیکیشن آلوده
• تغییر DNS
• نمایش صفحه ورود جعلی
• نصب گواهی ریشه مخرب
• هدایت کاربر به فیشینگ
• جمع‌آوری داده‌های دستگاه

سرقت مستقیم نشست معمولاً به چیزی بیشتر از مدیریت یک سرور VPN نیاز دارد؛ مانند آلوده بودن دستگاه، نصب گواهی مخرب، فیشینگ یا دسترسی به فایل‌های نشست.

پس خطر را واقعی ببینید، اما با توضیح‌های اغراق‌آمیز فنی هم فریب نخورید.

اعلان ورود را فقط زمانی تأیید کنید که دستگاه، زمان و موقعیت آن برایتان قابل‌تشخیص باشد.

با فعال بودن 2FA، اینستاگرام می‌تواند درباره ورود از دستگاه ناشناس هشدار دهد.

اگر درخواست ورود متعلق به شما نیست:

• درخواست را رد کنید.
• روی گزینه This Wasn’t Me بزنید.
• رمز را تغییر دهید.
• نشست‌های فعال را بررسی کنید.
• ایمیل امنیتی را کنترل کنید.
• ادمین‌ها را از اتفاق مطلع کنید.
• اپلیکیشن‌های متصل را حذف کنید.

اگر چند درخواست ورود پشت سر هم دریافت کردید، فقط رد کردن آن‌ها کافی نیست. احتمالاً رمز شما لو رفته و مهاجم در مرحله دوم ورود متوقف شده است.

ایمیل‌های رسمی اخیر را از داخل تنظیمات اینستاگرام بررسی کنید، نه از روی ظاهر ایمیل.

مسیر معمول:

Accounts Center ← Password and Security ← Recent Emails

در این بخش می‌توانید ایمیل‌های رسمی اخیر را ببینید. اگر ایمیلی ادعا می‌کند از اینستاگرام است اما آنجا دیده نمی‌شود، با احتیاط برخورد کنید.

نشانه‌های رایج فیشینگ:

• تهدید به حذف پیج طی چند ساعت
• وعده تیک آبی رایگان
• ادعای نقض کپی‌رایت با لینک ناشناس
• درخواست رمز یا کد 2FA
• دامنه شبیه Instagram اما با املای متفاوت
• فایل پیوست ناشناس
• درخواست ورود برای اعتراض
• پیام دایرکت با عنوان Meta Support

تیم امنیت متا برای حل مشکل از شما نمی‌خواهد رمز یا کد دومرحله‌ای را در دایرکت ارسال کنید.

اگر ایمیل اکانت تغییر کرده باشد، پیام بازگردانی رسمی تغییر ایمیل ممکن است از آدرس security@mail.instagram.com ارسال شود.

خیر؛ اشتراک رمز اصلی با ادمین، آژانس یا فریلنسر روش امنی نیست.

اگر قابلیت Shared Access برای حساب فعال باشد، می‌توانید بدون تحویل رمز به افراد اجازه انجام برخی فعالیت‌ها را بدهید.

برای حساب‌های تجاری نیز می‌توان از Meta Business Suite و دسترسی نقش‌محور (Role-Based Access) استفاده کرد.

مزایای دسترسی نقش‌محور:

• رمز مالک منتشر نمی‌شود.
• دسترسی هر فرد محدود می‌شود.
• پس از قطع همکاری، دسترسی حذف می‌شود.
• مسئولیت اقدامات بهتر قابل‌پیگیری است.
• دسترسی صندوق پیام جداگانه کنترل می‌شود.
• احتمال تغییر ایمیل یا مالکیت کاهش پیدا می‌کند.

برای مدیریت تیم این قواعد را اجرا کنید:

1. مالکیت اکانت دست مدیر کسب‌وکار بماند.
2. رمز اصلی در گروه تیم ارسال نشود.
3. دسترسی هر فرد فقط به اندازه نیاز باشد.
4. بعد از خروج نیرو، دسترسی همان روز حذف شود.
5. همه مدیران 2FA داشته باشند.
6. فهرست دسترسی‌ها ماهانه بررسی شود.
7. حداقل دو مدیر قابل‌اعتماد برای دارایی تجاری تعریف شوند.
8. هیچ آژانسی مالک نهایی Business Portfolio نباشد.

هر اپلیکیشنی که دیگر استفاده نمی‌کنید یا آن را نمی‌شناسید حذف کنید.

ابزارهای افزایش فالوور، آنفالویاب، دانلودر، زمان‌بندی ناشناس و تحلیل‌گرهای غیررسمی می‌توانند مجوزهای گسترده درخواست کنند.

مسیر ممکن است با نسخه برنامه فرق کند، اما معمولاً در بخش Apps and Websites یا Website Permissions قرار دارد.

این موارد را حذف کنید:

• ابزارهایی که رمز اصلی می‌خواهند.
• برنامه‌های نصب‌شده خارج از فروشگاه رسمی
• ابزارهای فالو و آنفالو خودکار
• سرویس‌های فروش لایک و فالوور
• ابزارهای ناشناس استخراج اطلاعات
• اپلیکیشن‌هایی که شرکت سازنده مشخصی ندارند
• سرویس‌هایی که مدت‌هاست استفاده نشده‌اند

حذف اپلیکیشن فقط دسترسی آینده را متوقف می‌کند. اگر قبلاً رمز را در اختیار آن گذاشته‌اید، رمز را نیز تغییر دهید.

فقط حساب‌های فیسبوک و اینستاگرامی را نگه دارید که واقعاً متعلق به شما یا سازمانتان هستند.

در Accounts Center این موارد را کنترل کنید:

• حساب‌های متصل
• امکان ورود حساب‌ها به یکدیگر
• اطلاعات تماس مشترک
• روش‌های پرداخت
• صفحه فیسبوک متصل
• حساب تبلیغاتی
• Business Portfolio
• شرکا و افراد دارای دسترسی

اگر یک حساب ناشناس در همان Accounts Center باشد، می‌تواند مسیر گسترش آسیب ایجاد کند.

قابلیت Logging in with Accounts را نیز بررسی کنید. اگر نیازی ندارید حساب‌ها بتوانند به یکدیگر وارد شوند، این اتصال را محدود کنید.

تنظیمات حریم خصوصی جای رمز و 2FA را نمی‌گیرند، اما احتمال مزاحمت، جعل هویت و سوءاستفاده را کمتر می‌کنند.

این بخش‌ها را بازبینی کنید:

• چه کسانی می‌توانند شما را منشن کنند؟
• چه کسانی می‌توانند تگ کنند؟
• آیا تگ‌ها قبل از نمایش تأیید می‌شوند؟
• چه کسانی می‌توانند پیام بدهند؟
• درخواست پیام افراد ناشناس کجا می‌رود؟
• چه کسانی می‌توانند استوری را بازنشر کنند؟
• Activity Status فعال باشد یا نه؟
• دسترسی اینستاگرام به مخاطبان و موقعیت لازم است؟
• آیا عکس‌ها و دوربین فقط هنگام استفاده در دسترس‌اند؟

برای پیج تجاری، خصوصی کردن حساب معمولاً با هدف بازاریابی سازگار نیست. به‌جای Private کردن، ورودی‌های مزاحم را با Message Controls، Hidden Words و محدودیت منشن مدیریت کنید.

اصطلاح شدوبن رسمی و دقیق نیست؛ بیشتر موارد در واقع محدودیت پیشنهاد شدن، نقض قوانین یا افت طبیعی توزیع هستند.

کاهش بازدید می‌تواند به این دلایل رخ دهد:

• محتوای ناقض قوانین
• محتوای غیراصیل و بازنشرشده
• رفتار اسپم‌گونه
• فالو و آنفالو سریع
• کامنت خودکار
• استفاده از ابزارهای غیرمجاز
• گزارش‌های متعدد معتبر
• نقض Recommendation Guidelines
• تغییر موضوع و افت علاقه مخاطب
• کیفیت پایین محتوا

VPN معمولاً دلیل مستقیم «شدوبن» نیست. ممکن است ورود مشکوک یا اختلال امنیتی ایجاد کند، اما افت Reach را باید از Account Status، Insights و سلامت محتوا بررسی کرد.

در بخش Account Status کنترل کنید:

• محتوای حذف‌شده
• قابلیت‌های محدودشده
• Recommendation Eligibility
• امکان درخواست بازبینی
• مشکلات بیو یا تصویر پروفایل

ابتدا مهاجم را از نشست‌ها خارج کنید، سپس تمام مسیرهای ورود دوباره را ببندید.

ترتیب پیشنهادی:

1. ایمیل و شماره تلفن را بررسی کنید.
2. دستگاه‌های ناشناس را Log Out کنید.
3. رمز اینستاگرام را تغییر دهید.
4. رمز ایمیل را تغییر دهید.
5. 2FA با Authenticator فعال کنید.
6. Backup Code جدید بسازید.
7. Recent Emails را بررسی کنید.
8. اپلیکیشن‌های متصل را حذف کنید.
9. Accounts Center را بررسی کنید.
10. دسترسی ادمین‌ها را ممیزی کنید.
11. پست‌ها، دایرکت‌ها و تبلیغات ناشناس را کنترل کنید.
12. از اطلاعات مهم و فهرست دسترسی‌ها نسخه پشتیبان تهیه کنید.

اگر مهاجم هنوز نشست فعال داشته باشد، تغییر رمز معمولاً کمک می‌کند، اما باید تمام دستگاه‌ها و اتصال‌های جانبی نیز بررسی شوند.

بازیابی را فقط از اپلیکیشن، وب‌سایت رسمی اینستاگرام یا صفحه رسمی حساب هک‌شده آغاز کنید.

ابتدا در صفحه ورود روی Forgot Password بزنید و یکی از این اطلاعات را وارد کنید:

• نام کاربری
• ایمیل
• شماره تلفن

اگر این مسیر جواب نداد، از صفحه رسمی زیر استفاده کنید:

instagram.com/hacked

بسته به شرایط، اینستاگرام ممکن است یکی از این روش‌ها را ارائه دهد:

• ارسال لینک ورود
• کد امنیتی
• تأیید ایمیل یا شماره
• تأیید از طریق فیسبوک متصل
• ویدئوی سلفی برای تشخیص هویت
• بررسی درخواست پشتیبانی

برای افزایش شانس بازیابی:

• از دستگاهی استفاده کنید که قبلاً با آن وارد شده‌اید.
• از شبکه یا موقعیت همیشگی استفاده کنید.
• بین چند VPN و دستگاه جابه‌جا نشوید.
• درخواست‌های متعدد و متناقض ارسال نکنید.
• اطلاعات قدیمی پیج را دقیق وارد کنید.
• ایمیل‌های اسپم را بررسی کنید.
• هیچ کد بازیابی را به شخص دیگری ندهید.

بازیابی پایان کار نیست؛ مهاجم ممکن است مسیر ورود دیگری باقی گذاشته باشد.

بعد از ورود دوباره:

• رمز را تغییر دهید.
• تمام نشست‌ها را ببندید.
• ایمیل و شماره را کنترل کنید.
• Backup Codeهای قبلی را باطل کنید.
• 2FA را از نو تنظیم کنید.
• حساب‌های متصل را بررسی کنید.
• دسترسی Business Suite را ممیزی کنید.
• روش‌های پرداخت تبلیغاتی را کنترل کنید.
• اپلیکیشن‌های مشکوک را حذف کنید.
• گوشی و کامپیوتر را از نظر بدافزار بررسی کنید.
• رمز تمام حساب‌های مشابه را تغییر دهید.
• به مشتریان درباره پیام‌های جعلی احتمالی اطلاع دهید.

اگر مهاجم به دایرکت مشتریان دسترسی داشته، موضوع فقط امنیت پیج نیست؛ داده و اعتماد مشتری نیز در خطر بوده است.

اگر حساب تبلیغاتی متا هک شده است، ابتدا جلوی ادامه خرج شدن بودجه را بگیرید، سپس دسترسی مهاجم را قطع کنید و بعد برای بازیابی و اعتراض رسمی اقدام کنید.

هک شدن حساب تبلیغاتی با هک شدن پیج اینستاگرام فرق دارد. ممکن است خود پیج هنوز در اختیار شما باشد، اما مهاجم از طریق پروفایل شخصی یکی از مدیران، صفحه فیسبوک، Meta Business Suite یا Business Portfolio وارد حساب تبلیغاتی شده باشد.

در این شرایط ممکن است تبلیغات ناشناس ساخته شوند، سقف هزینه تغییر کند، کارت بانکی یا روش پرداخت مورد سوءاستفاده قرار بگیرد یا کاربران ناشناس به بیزینس اضافه شوند.

در چند دقیقه اول چه اقداماتی انجام دهیم؟

ابتدا وارد Ads Manager و Meta Business Suite شوید و این موارد را بررسی کنید:

1. تمام کمپین‌های ناشناس را Pause کنید.
2. تبلیغات جدید و تغییرات اخیر را ثبت کنید.
3. بودجه روزانه و Lifetime Budget کمپین‌ها را بررسی کنید.
4. روش‌های پرداخت متصل را کنترل کنید.
5. افراد، Partnerها و آژانس‌های دارای دسترسی را بررسی کنید.
6. حساب‌های ناشناس را از Business Portfolio حذف کنید.
7. دسترسی کاربران مشکوک را قطع کنید.
8. اعلان‌های تجاری متا را فعال کنید.
9. رمز حساب‌های مدیریتی را تغییر دهید.
10. برای تمام مدیران احراز هویت دومرحله‌ای فعال کنید.

قبل از حذف تبلیغات و کاربران ناشناس، از صفحه‌ها اسکرین‌شات بگیرید. نام کمپین، شناسه حساب تبلیغاتی، مبلغ هزینه‌شده، تاریخ، نام کاربران اضافه‌شده و روش پرداخت را ثبت کنید.

آیا باید کارت بانکی را فوراً حذف کنیم؟

اگر برداشت یا هزینه ناشناس مشاهده می‌کنید، روش پرداخت را محدود یا حذف کنید و هم‌زمان با بانک یا صادرکننده کارت تماس بگیرید.

فقط حذف کارت کافی نیست؛ چون مهاجم ممکن است همچنان به حساب تبلیغاتی دسترسی داشته باشد و روش پرداخت جدیدی اضافه کند.

این موارد را بررسی کنید:

• تراکنش‌های اخیر
• بدهی حساب تبلیغاتی
• رسیدهای متا
• تغییرات سقف پرداخت
• روش‌های پرداخت جدید
• اکانت‌های تبلیغاتی دیگری که از همان کارت استفاده می‌کنند

در صورت مشاهده برداشت غیرمجاز، شماره پیگیری تراکنش، مبلغ، تاریخ و شناسه پرداخت را نگه دارید.

چطور دسترسی اصلی مهاجم را قطع کنیم؟

اغلب مهاجم از طریق یکی از مدیران وارد Business Account شده است. بنابراین فقط تغییر رمز پیج کافی نیست.

باید امنیت این موارد را هم بررسی کنید:

• پروفایل شخصی تمام مدیران
• ایمیل‌های متصل
• صفحه فیسبوک
• Business Portfolio
• Ad Account
• Instagram Account
• Pixel و Dataset
• کاتالوگ محصولات
• اپلیکیشن‌ها و سرویس‌های متصل

اگر یکی از مدیران روی لپ‌تاپ یا گوشی آلوده وارد حساب شده باشد، تغییر رمز بدون پاک‌سازی دستگاه ممکن است باعث ورود دوباره مهاجم شود.

از کجا برای حساب تبلیغاتی هک‌شده درخواست پشتیبانی بدهیم؟

برای حساب‌های تجاری باید از Business Support Home یا بخش پشتیبانی Meta Business اقدام کنید.

در درخواست خود این اطلاعات را آماده داشته باشید:

• Business ID
• Ad Account ID
• آدرس پیج اینستاگرام و فیسبوک
• تاریخ تقریبی شروع مشکل
• نام کمپین‌های ناشناس
• مبلغ هزینه‌شده
• اسکرین‌شات تغییرات
• اطلاعات کاربران ناشناس
• رسید برداشت‌های غیرمجاز
• شماره پرونده یا Case ID قبلی

توضیحات را کوتاه، دقیق و بدون حدس بنویسید. مثلاً نگویید «یک هکر حرفه‌ای روسی وارد شده»؛ بنویسید «در تاریخ مشخص، دو کمپین ناشناس ایجاد و این مبلغ هزینه شده است».

بعد از کنترل حادثه چه کاری انجام دهیم؟

بعد از قطع دسترسی مهاجم:

• تمام مدیران غیرضروری را حذف کنید.
• 2FA را برای اعضای Business Portfolio اجباری کنید.
• رمزهای تکراری را تغییر دهید.
• دستگاه‌های مدیران را اسکن کنید.
• افزونه‌های ناشناس مرورگر را حذف کنید.
• سطح دسترسی هر فرد را کاهش دهید.
• حداقل دو مدیر قابل‌اعتماد با کنترل کامل داشته باشید.
• یک گزارش از علت احتمالی و اقدامات اصلاحی تهیه کنید.

هدف فقط متوقف کردن تبلیغ ناشناس نیست؛ باید مسیری که مهاجم از آن وارد شده نیز بسته شود.

برای جلوگیری از جعل هویت برند باید حساب رسمی را شفاف معرفی کنید، نمونه‌های جعلی را زود تشخیص دهید و برای گزارش آن‌ها مدارک قابل‌استناد داشته باشید.

جعل هویت زمانی اتفاق می‌افتد که فردی با استفاده از نام، لوگو، تصاویر یا محتوای یک برند، حسابی شبیه صفحه اصلی می‌سازد.

این حساب ممکن است از مشتریان پول بگیرد، لینک فیشینگ بفرستد، مسابقه جعلی برگزار کند یا اطلاعات بانکی کاربران را جمع‌آوری کند.

در این حالت ممکن است پیج اصلی شما اصلاً هک نشده باشد، اما اعتبار برند و اعتماد مشتریان آسیب ببیند.

چگونه حساب‌های جعلی را زود پیدا کنیم؟

به‌صورت دوره‌ای این موارد را جست‌وجو کنید:

• نام دقیق برند
• شکل‌های مختلف نوشتن نام
• نام برند با نقطه، خط تیره یا عدد
• نام مدیرعامل یا بنیان‌گذار
• نام محصولات مهم
• لوگو و تصویر پروفایل برند

پیج‌های جعلی معمولاً از نام کاربری نزدیک به صفحه اصلی استفاده می‌کنند؛ مثلاً یک حرف را عوض می‌کنند یا کلمه‌هایی مثل support، official، shop و backup را اضافه می‌کنند.

برای برندهای بزرگ بهتر است این جست‌وجو هر هفته انجام شود.

حساب رسمی برند را چگونه قابل‌تشخیص کنیم؟

این اقدامات به مشتری کمک می‌کنند صفحه اصلی را از نسخه جعلی تشخیص دهد:

• لینک پیج رسمی را در وب‌سایت قرار دهید.
• نام کاربری رسمی را در فاکتور، پیامک و بسته‌بندی بنویسید.
• در هایلایت یا پست ثابت اعلام کنید چند صفحه رسمی دارید.
• شماره تماس و دامنه سایت را در بیو درج کنید.
• روش پرداخت رسمی را توضیح دهید.
• اعلام کنید هیچ‌وقت از طریق دایرکت رمز، کد یا اطلاعات بانکی نمی‌خواهید.
• از هویت بصری ثابت استفاده کنید.

داشتن تیک تأیید می‌تواند تشخیص را ساده‌تر کند، اما نبود آن به معنی جعلی بودن پیج نیست و داشتن آن هم جای آموزش مشتریان را نمی‌گیرد.

اگر یک پیج جعلی پیدا کردیم، چه کنیم؟

ابتدا مدارک را ذخیره کنید:

• نام کاربری
• لینک پروفایل
• اسکرین‌شات بیو
• تصاویر و پست‌های کپی‌شده
• پیام‌های ارسالی به مشتریان
• شماره کارت یا لینک پرداخت
• تاریخ و ساعت مشاهده
• اسامی قربانیان احتمالی

سپس از داخل پروفایل جعلی این مسیر را طی کنید:

Report ← Report Account ← It’s Pretending to Be Someone Else

نوع جعل را مشخص کنید؛ شخص، برند، کسب‌وکار یا سازمان.

گزارش جعل هویت بهتر است توسط مالک برند یا نماینده رسمی آن ثبت شود. ممکن است متا برای بررسی، مدارک هویتی یا اسناد ارتباط با برند را درخواست کند.

آیا باید از فالوورها بخواهیم پیج را گزارش کنند؟

می‌توانید به مشتریان هشدار دهید و از آن‌ها بخواهید حساب جعلی را از مسیر درست گزارش کنند، اما نباید کاربران را به گزارش دروغین یا انتخاب دلیل نامرتبط تشویق کنید.

اطلاع‌رسانی شما باید شفاف باشد:

این حساب متعلق به برند ما نیست. لطفاً هیچ پرداختی انجام ندهید و اطلاعات شخصی خود را ارسال نکنید.

در صورت کلاهبرداری مالی، علاوه بر گزارش به متا، موضوع باید از طریق بانک، درگاه پرداخت و مراجع قانونی یا پلیس فتا نیز پیگیری شود.

چه مدارکی برای اثبات مالکیت برند مفیدند؟

این مدارک را از قبل آماده نگه دارید:

• مدارک ثبت شرکت
• گواهی ثبت علامت تجاری
• دامنه رسمی وب‌سایت
• قرارداد نمایندگی
• تصاویر اصلی لوگو
• سوابق انتشار قدیمی
• ایمیل سازمانی
• اسناد مالکیت پیج
• شماره تماس ثبت‌شده شرکت

پیشگیری از جعل هویت فقط وظیفه تیم سوشال مدیا نیست. تیم حقوقی، پشتیبانی مشتریان و مالی نیز باید در جریان روش‌های کلاهبرداری احتمالی باشند.

بعد از هک باید شواهدی را نگه دارید که زمان حادثه، نوع تغییرات، مسیر احتمالی ورود و میزان خسارت را مشخص کنند.

شواهد دیجیتال ممکن است با حذف نشست، تغییر رمز یا پاک شدن پیام‌ها از بین بروند. به همین دلیل، هر اطلاعاتی که بدون افزایش خطر قابل‌ثبت است، باید قبل یا هم‌زمان با مهار حادثه ذخیره شود.

البته اگر مهاجم هنوز در حال خرج کردن بودجه یا تغییر اطلاعات است، متوقف کردن حمله اولویت دارد. برای گرفتن اسکرین‌شات، کنترل حساب را به خطر نیندازید.

چه اطلاعاتی از ورودهای مشکوک نگه داریم؟

از بخش Where You’re Logged In یا Login Activity این اطلاعات را ثبت کنید:

• نوع دستگاه
• موقعیت تقریبی
• زمان آخرین فعالیت
• مرورگر
• تاریخ ورود
• نشست‌های ناشناس
• پیام This Wasn’t Me
• اعلان‌های ورود

موقعیت نمایش‌داده‌شده لزوماً دقیق نیست، اما در کنار زمان و نوع دستگاه می‌تواند مفید باشد.

چه ایمیل‌هایی را ذخیره کنیم؟

این ایمیل‌ها اهمیت زیادی دارند:

• تغییر ایمیل پیج
• تغییر رمز
• اضافه شدن شماره جدید
• تلاش برای ورود
• تغییرات 2FA
• اضافه شدن مدیر
• تغییرات Business Manager
• تأیید یا رد گزارش متا
• رسیدهای تبلیغات ناشناس
• ایمیل‌های اخاذی یا تهدید

ایمیل‌ها را فقط اسکرین‌شات نگیرید؛ نسخه اصلی آن‌ها را هم نگه دارید. در صورت امکان، Header کامل ایمیل نیز حفظ شود؛ چون اطلاعات فنی مسیر ارسال را نشان می‌دهد.

از داخل پیج چه شواهدی ثبت کنیم؟

این موارد را بررسی و ذخیره کنید:

• پست و استوری ناشناس
• دایرکت‌های ارسالی توسط مهاجم
• لینک‌های اضافه‌شده به بیو
• تغییر نام کاربری
• تغییر تصویر پروفایل
• حساب‌های جدید متصل
• شماره و ایمیل اضافه‌شده
• اپلیکیشن‌های متصل
• تبلیغات و کمپین‌های ناشناس
• کاربران اضافه‌شده به Business Portfolio
• تغییر روش‌های پرداخت

برای هر مدرک، تاریخ و ساعت ثبت را بنویسید.

شواهد مالی شامل چه مواردی هستند؟

اگر خسارت مالی ایجاد شده است، این موارد را نگه دارید:

• صورتحساب کارت یا حساب
• رسید پرداخت متا
• مبلغ تبلیغات ناشناس
• شماره تراکنش
• شناسه حساب تبلیغاتی
• نام کمپین
• تاریخ شروع و پایان هزینه
• تغییرات بودجه
• ارز حساب تبلیغاتی
• مکاتبات بانک یا درگاه پرداخت

چگونه شواهد را مرتب کنیم؟

برای کسب‌وکارها بهتر است یک پوشه مخصوص حادثه ساخته شود:

• 01-Login-Activity
• 02-Emails
• 03-Account-Changes
• 04-Ads-and-Payments
• 05-Impersonation
• 06-Support-Cases
• 07-Team-Statements

نام فایل‌ها را با تاریخ و ساعت ذخیره کنید. مثلاً:

2026-06-18_14-30_unknown-login.png

نسخه اصلی فایل‌ها را ویرایش نکنید. اگر برای ارائه نیاز به علامت‌گذاری دارید، یک کپی جداگانه بسازید.

چه اطلاعاتی از تیم بگیریم؟

از هر فردی که به پیج دسترسی داشته، بپرسید:

• چه زمانی آخرین بار وارد شده است؟
• از چه دستگاه و شبکه‌ای استفاده کرده؟
• آیا لینک مشکوکی باز کرده؟
• آیا نرم‌افزار یا افزونه‌ای نصب کرده؟
• آیا کد ورود دریافت کرده؟
• آیا پیام پشتیبانی جعلی دیده؟
• آیا رمز را در جای دیگری وارد کرده؟
• آیا دستگاه گم یا تعمیر شده است؟

این گفت‌وگو برای پیدا کردن مقصر نیست؛ هدف پیدا کردن مسیر نفوذ است.

شماره پرونده‌ها را فراموش نکنید

تمام Case IDها، شماره گزارش‌ها، پاسخ‌های Support Inbox و مکاتبات با متا را نگه دارید.

اگر مشکل طولانی شود یا مجبور شوید دوباره درخواست بفرستید، این شماره‌ها نشان می‌دهند قبلاً چه مراحلی انجام شده است.

امنیت پیج بدون امنیت دستگاه کامل نیست؛ مهاجمی که به گوشی یا کامپیوتر دسترسی دارد ممکن است بدون دانستن رمز وارد نشست فعال اینستاگرام شود.

بسیاری از تیم‌ها روی رمز اینستاگرام تمرکز می‌کنند اما لپ‌تاپی را که رمز داخل مرورگرش ذخیره شده بدون قفل رها می‌کنند.

دستگاه مدیریت پیج باید مثل کلید گاوصندوق شرکت محافظت شود.

قفل صفحه دستگاه چگونه تنظیم شود؟

برای گوشی و کامپیوتر این موارد را فعال کنید:

• رمز یا PIN قوی
• اثر انگشت یا تشخیص چهره
• قفل خودکار کوتاه‌مدت
• نیاز به رمز بعد از Restart
• قفل جداگانه Password Manager
• مخفی کردن متن اعلان‌ها روی صفحه قفل

کدهای پیامکی، لینک‌های ورود و ایمیل‌های امنیتی نباید روی صفحه قفل به‌طور کامل نمایش داده شوند.

آیا رمزگذاری دستگاه ضروری است؟

بله، رمزگذاری کامل دستگاه باعث می‌شود در صورت سرقت یا گم شدن، خواندن اطلاعات ذخیره‌شده دشوارتر شود.

در بیشتر گوشی‌های جدید رمزگذاری به‌صورت پیش‌فرض فعال است، اما باید مطمئن شوید دستگاه قفل قدرتمندی دارد.

برای لپ‌تاپ نیز قابلیت رمزگذاری دیسک را فعال کنید و کلید بازیابی را در محل امن نگه دارید.

چه نرم‌افزارهایی نباید روی دستگاه مدیریت پیج نصب شوند؟

از نصب این موارد خودداری کنید:

• اینستاگرام مودشده
• اپلیکیشن‌های کرک‌شده
• آنفالویاب‌های ناشناس
• ابزار افزایش فالوور
• افزونه‌های مرورگر نامعتبر
• نرم‌افزار کنترل از راه دور بدون نیاز
• فایل‌های ارسالی از منابع ناشناس
• VPNهای رایگان و ناشناس
• نسخه‌های غیررسمی Password Manager

بدافزار ممکن است در قالب ابزار طراحی، افزونه مرورگر، فایل رزومه یا نرم‌افزار تبلیغاتی وارد دستگاه شود.

سیستم‌عامل و اپلیکیشن‌ها هر چند وقت به‌روز شوند؟

به‌روزرسانی امنیتی را عقب نیندازید.

این موارد باید به‌روز باشند:

• سیستم‌عامل گوشی
• ویندوز یا macOS
• مرورگر
• اینستاگرام
• اپلیکیشن Authenticator
• Password Manager
• نرم‌افزار امنیتی
• افزونه‌های مرورگر

به‌روزرسانی فقط امکانات جدید اضافه نمی‌کند؛ بسیاری از حفره‌های امنیتی را نیز می‌بندد.

آیا استفاده از گوشی مشترک امن است؟

گوشی یا لپ‌تاپ مشترک برای مدیریت پیج تجاری انتخاب مناسبی نیست.

اگر مجبور به استفاده از دستگاه مشترک هستید:

• حساب کاربری جداگانه بسازید.
• اطلاعات ورود را در مرورگر ذخیره نکنید.
• Remember Me را فعال نکنید.
• بعد از پایان کار Log Out کنید.
• فایل‌ها را در پوشه شخصی رمزگذاری‌شده نگه دارید.
• دسترسی ادمین سیستم را محدود کنید.

برای پیج‌های مهم بهتر است یک دستگاه سازمانی مشخص با فهرست کاربران مجاز وجود داشته باشد.

اگر دستگاه گم شد چه کنیم؟

این مراحل را فوراً انجام دهید:

1. از طریق قابلیت Find My دستگاه را قفل کنید.
2. در صورت نیاز، اطلاعات را از راه دور پاک کنید.
3. نشست اینستاگرام را Log Out کنید.
4. رمز ایمیل و اینستاگرام را تغییر دهید.
5. Backup Codeهای جدید بسازید.
6. سیم‌کارت را مسدود کنید.
7. نشست Password Manager را لغو کنید.
8. تیم را مطلع کنید.

برنامه واکنش به گم شدن دستگاه باید قبل از حادثه آماده باشد، نه بعد از آن.

برنامه واکنش اضطراری مشخص می‌کند هنگام هک چه کسی، با چه ترتیبی و از چه کانالی اقدام کند.

وقتی حادثه رخ می‌دهد، تصمیم‌گیری پراکنده می‌تواند اوضاع را بدتر کند. یک نفر رمز را عوض می‌کند، نفر دیگر کمپین را حذف می‌کند و نفر سوم بدون هماهنگی برای متا گزارش می‌فرستد.

برنامه واکنش به حادثه یا Incident Response Plan باید کوتاه، مکتوب و قابل‌اجرا باشد.

مرحله اول: تشخیص و اعلام حادثه

هر عضو تیم باید بداند چه مواردی حادثه امنیتی محسوب می‌شوند:

• ورود ناشناس
• تغییر رمز یا ایمیل
• پست یا دایرکت غیرمجاز
• تبلیغات ناشناس
• برداشت مالی
• اضافه شدن ادمین جدید
• حذف دسترسی مالک
• دریافت چند درخواست 2FA
• انتشار لینک کلاهبرداری

فردی که مشکل را می‌بیند باید از یک کانال امن و خارج از پیج، مسئول امنیت را مطلع کند.

مرحله دوم: تعیین مسئول‌ها

حداقل این نقش‌ها مشخص شوند:

در تیم کوچک ممکن است یک نفر چند نقش داشته باشد، اما مسئولیت‌ها باید از قبل روشن باشند.

مرحله سوم: مهار حادثه

اقدامات مهار می‌توانند شامل این موارد باشند:

• رد کردن درخواست ورود
• خروج نشست ناشناس
• تغییر رمز
• توقف تبلیغات
• محدود کردن روش پرداخت
• حذف دسترسی مهاجم
• قطع اتصال اپلیکیشن مشکوک
• مسدود کردن دستگاه گم‌شده
• موقتاً محدود کردن فعالیت تیم

مهار باید طوری انجام شود که شواهد ضروری تا حد امکان حفظ شوند.

مرحله چهارم: پاک‌سازی مسیر نفوذ

بعد از کنترل اولیه، علت احتمالی بررسی شود:

• فیشینگ
• رمز تکراری
• دستگاه آلوده
• ادمین سابق
• اپلیکیشن شخص ثالث
• Business Partner ناشناس
• ایمیل هک‌شده
• سرقت سیم‌کارت
• افزونه مرورگر مخرب

فقط تغییر رمز بدون پیدا کردن مسیر نفوذ می‌تواند باعث تکرار حادثه شود.

مرحله پنجم: بازیابی حساب و خدمات

بازیابی شامل این موارد است:

• بازگرداندن اطلاعات پروفایل
• حذف محتوای مهاجم
• بررسی دایرکت‌ها
• فعال کردن تبلیغات سالم
• بازیابی دسترسی مدیران
• کنترل روش‌های پرداخت
• ساخت Backup Code جدید
• بازبینی 2FA
• بررسی Account Status

فعالیت‌ها را به‌تدریج برگردانید. لازم نیست بلافاصله بعد از بازیابی، تمام کمپین‌ها و دسترسی‌ها دوباره فعال شوند.

مرحله ششم: اطلاع‌رسانی

اگر مهاجم برای مشتریان پیام فرستاده یا لینک و شماره حساب جعلی منتشر کرده است، اطلاع‌رسانی لازم است.

پیام باید دقیق باشد:

• چه اتفاقی افتاده؟
• چه بازه‌ای تحت‌تأثیر بوده؟
• مشتری چه کاری انجام ندهد؟
• صفحه و مسیر پرداخت رسمی کدام است؟
• برای گزارش مشکل با چه کسی تماس بگیرد؟

اطلاعات تأییدنشده یا جزئیات فنی حساس را منتشر نکنید.

مرحله هفتم: مرور پس از حادثه

بعد از پایان بحران، یک جلسه کوتاه برگزار کنید و به این سؤال‌ها پاسخ دهید:

• مهاجم از کجا وارد شد؟
• کدام کنترل امنیتی وجود نداشت؟
• چه کاری دیر انجام شد؟
• چه دسترسی‌هایی اضافی بودند؟
• چه اطلاعاتی از دست رفت؟
• آیا مشتریان آسیب دیدند؟
• چه تغییری باید در پروتکل ایجاد شود؟

نتیجه جلسه باید به اصلاح چک‌لیست امنیت، آموزش تیم و محدود کردن دسترسی‌ها منجر شود.

Security Checkup ابزاری برای مرور مرحله‌ای تنظیمات مهم امنیتی و پیدا کردن نقاط ضعف حساب است.

اینستاگرام این قابلیت را برای کمک به کاربران، مخصوصاً حساب‌هایی که احتمال هک شدن آن‌ها وجود دارد، معرفی کرده است.

در سال ۲۰۲۶ تنظیمات امنیتی متا در حال انتقال تدریجی از Accounts Center به Meta Account هستند. به همین دلیل ممکن است نام، محل یا ظاهر دقیق Security Checkup برای تمام کاربران یکسان نباشد.

اگر گزینه‌ای با نام Security Checkup نمی‌بینید، همان بررسی‌ها را از بخش Password and Security انجام دهید.

Security Checkup چه چیزهایی را بررسی می‌کند؟

این ابزار یا فرایند بررسی امنیتی می‌تواند شما را برای کنترل این موارد راهنمایی کند:

• فعالیت ورودهای اخیر
• دستگاه‌های واردشده
• اطلاعات پروفایل
• ایمیل و شماره تلفن بازیابی
• حساب‌هایی که اطلاعات ورود مشترک دارند
• رمز عبور
• احراز هویت دومرحله‌ای
• Login Alerts یا Login Requests
• حساب‌های متصل

هدف آن این است که تنظیمات پراکنده امنیتی را در یک مسیر ساده‌تر جمع کند.

آیا اجرای Security Checkup به معنی امن بودن کامل پیج است؟

خیر، Security Checkup فقط تنظیمات داخل اکوسیستم متا را بررسی می‌کند.

این ابزار نمی‌تواند تمام مشکلات بیرونی را تشخیص دهد؛ مثلاً:

• بدافزار روی لپ‌تاپ
• دسترسی غیرمجاز ادمین
• ایمیل آلوده
• سیم‌کارت ناامن
• فیشینگ
• Password Manager ضعیف
• فایل‌های پشتیبان افشاشده
• قرارداد نادرست با آژانس

بنابراین Security Checkup باید بخشی از چک‌لیست امنیت باشد، نه کل آن.

هر چند وقت یک‌بار Security Checkup را اجرا کنیم؟

برای پیج شخصی، بررسی دوره‌ای هر چند ماه یک‌بار مناسب است.

برای پیج تجاری بهتر است در این زمان‌ها انجام شود:

• ماهانه
• بعد از ورود ادمین جدید
• بعد از خروج کارمند یا آژانس
• بعد از سفر یا تغییر دستگاه
• بعد از دریافت هشدار ورود
• بعد از نصب اپلیکیشن جدید
• بعد از بازیابی حساب
• قبل از کمپین‌های بزرگ

تفاوت Security Checkup با Account Status چیست؟

این دو بخش کاربرد یکسانی ندارند.

Security Checkup درباره امنیت ورود و کنترل حساب است:

• رمز
• 2FA
• نشست‌ها
• بازیابی
• هشدار ورود

Account Status درباره قوانین و محدودیت‌های حساب است:

• محتوای حذف‌شده
• قابلیت‌های محدودشده
• نقض قوانین
• Recommendation Eligibility
• امکان درخواست بازبینی

ممکن است پیج از نظر امنیتی سالم باشد اما به‌دلیل محتوای ناقض قوانین محدود شود. همچنین ممکن است Account Status کاملاً سالم باشد اما رمز پیج در اختیار فرد ناشناس قرار گرفته باشد.

بعد از اجرای Security Checkup چه چیزهایی را دستی بررسی کنیم؟

حتی بعد از کامل کردن ابزار، این موارد را جداگانه ببینید:

• Meta Business Suite
• افراد و Partnerهای تجاری
• صفحه فیسبوک متصل
• Ad Account
• روش پرداخت
• Apps and Websites
• دسترسی ادمین‌ها
• امنیت ایمیل
• امنیت گوشی و کامپیوتر
• Backup Codes

Security Checkup مثل معاینه اولیه است؛ برای پیج‌های تجاری، بررسی کامل دارایی‌ها و افراد متصل همچنان ضروری است.

تیم باید بر اساس دسترسی مشخص کار کند، نه رمز مشترک.

یک دستورالعمل ساده برای شرکت‌ها:

در تیم بزرگ، بهتر است یک نفر مسئول امنیت دارایی‌های متا باشد و تغییر دسترسی‌ها ثبت شود.

این فهرست را ماهانه مرور کنید:

• ایمیل بازیابی متعلق به شرکت است.
• رمز ایمیل منحصربه‌فرد است.
• 2FA ایمیل فعال است.
• رمز اینستاگرام تکراری نیست.
• رمز داخل Password Manager نگهداری می‌شود.
• 2FA اینستاگرام با Authenticator فعال است.
• Backup Codes امن و به‌روز هستند.
• Login Requests فعال‌اند.
• نشست ناشناس وجود ندارد.
• Recent Emails بررسی شده است.
• اپلیکیشن ناشناس متصل نیست.
• حساب ناشناسی در Accounts Center نیست.
• ادمین قبلی دسترسی ندارد.
• رمز با ادمین‌ها به اشتراک گذاشته نشده است.
• صفحه فیسبوک و Business Portfolio ممیزی شده‌اند.
• روش پرداخت تبلیغات بررسی شده است.
• VPN یا شبکه مدیریت پیج پایدار است.
• اپلیکیشن اینستاگرام و سیستم‌عامل به‌روزند.
• Account Status مشکل امنیتی یا محدودیت ناشناخته ندارد.
• برنامه بازیابی اضطراری ثبت شده است.

آیا تغییر مداوم رمز باعث افزایش امنیت پیج می‌شود؟

تغییر مداوم و بی‌دلیل رمز ضروری نیست. رمز باید طولانی، منحصربه‌فرد و داخل Password Manager نگهداری شود. وقتی احتمال نشت، ورود مشکوک، خروج ادمین یا استفاده مجدد از رمز وجود دارد، آن را فوراً تغییر دهید. تغییرهای مکرر ممکن است کاربران را به انتخاب رمزهای ساده‌تر سوق دهد.

چگونه بفهمیم لینک دریافت‌شده از طرف متا واقعی است؟

به‌جای اعتماد به ظاهر پیام، Recent Emails را داخل تنظیمات اینستاگرام بررسی کنید. لینک را از دایرکت یا پیامک ناشناس باز نکنید. دامنه را دقیق بخوانید و هیچ‌وقت رمز، کد 2FA یا Backup Code را در صفحه‌ای که از طریق پیام دریافت کرده‌اید وارد نکنید.

چرا اینستاگرام بعد از تعویض گوشی کد امنیتی می‌خواهد؟

چون گوشی جدید برای سیستم یک دستگاه ناشناخته است. این درخواست لزوماً به معنی هک نیست. با کد Authenticator، روش بازیابی معتبر یا Backup Code ورود را تأیید کنید و فقط روی دستگاه شخصی گزینه Trust This Device را بزنید.

چه زمانی باید همه دستگاه‌ها را از پیج خارج کنیم؟

وقتی ورود ناشناس، تغییرات غیرمجاز یا نشت رمز مشاهده شده است، همه نشست‌های غیرضروری را ببندید. پس از خروج دستگاه‌ها، رمز و 2FA را تغییر دهید. فقط Log Out کردن مهاجم کافی نیست اگر همچنان به ایمیل، اپلیکیشن متصل یا کد بازیابی دسترسی داشته باشد.

کدام دستگاه برای مدیریت پیج تجاری امن‌تر است؟

دستگاهی امن‌تر است که به‌روز، قفل‌گذاری‌شده و فقط در اختیار افراد مجاز باشد. نوع برند گوشی به‌اندازه وضعیت امنیتی آن مهم نیست. از دستگاه روت یا Jailbreak‌شده، اپلیکیشن‌های کرک‌شده و گوشی مشترک بدون حساب کاربری جداگانه استفاده نکنید.

آیا اتصال اینستاگرام به فیسبوک خطرناک است؟

خود اتصال خطرناک نیست، اما سطح دسترسی را گسترده‌تر می‌کند. اگر صفحه فیسبوک یا Business Portfolio درست مدیریت نشود، شخصی می‌تواند از مسیر دارایی متصل به تبلیغات یا اطلاعات پیج دسترسی پیدا کند. نقش‌ها، شرکا و مدیران هر دو پلتفرم را بررسی کنید.

چگونه امنیت پیج را بعد از قطع همکاری با آژانس حفظ کنیم؟

دسترسی آژانس و تمام اعضای آن را از Shared Access و Meta Business Suite حذف کنید. نشست‌ها، ایمیل‌ها، حساب‌های متصل و اپلیکیشن‌ها را بررسی کنید. اگر رمز در اختیار آژانس بوده، رمز و Backup Codes را تغییر دهید و 2FA را دوباره تنظیم کنید.

آیا خاموش کردن Activity Status امنیت را بیشتر می‌کند؟

خاموش کردن وضعیت فعالیت، حریم خصوصی را بیشتر می‌کند اما دفاع اصلی در برابر هک نیست. این گزینه فقط مانع مشاهده آنلاین بودن شما توسط برخی کاربران می‌شود. رمز منحصربه‌فرد، 2FA، امنیت ایمیل و کنترل نشست‌ها تأثیر بسیار بیشتری دارند.

چقدر طول می‌کشد پیج هک‌شده بازگردانی شود؟

زمان ثابتی وجود ندارد و به نوع تغییرات مهاجم و روش تأیید هویت بستگی دارد. برخی حساب‌ها با لینک ورود سریع بازمی‌گردند و بعضی به بررسی ویدئوی سلفی یا پشتیبانی نیاز دارند. ارسال درخواست‌های متناقض و تغییر مداوم دستگاه یا IP می‌تواند فرایند را پیچیده‌تر کند.

افزایش امنیت پیج اینستاگرام نیازی به کد مخفی، ارتباط داخل متا یا پرداخت پول به افراد ناشناس ندارد.

از این پنج اقدام شروع کنید:

1. ایمیل و شماره بازیابی را امن کنید.
2. یک رمز طولانی و منحصربه‌فرد بسازید.
3. 2FA را با Authenticator فعال کنید.
4. نشست‌ها و دسترسی‌های متصل را بررسی کنید.
5. اشتراک رمز با ادمین‌ها را متوقف کنید.

سپس Backup Code، Recent Emails، Account Status، دسترسی Meta Business Suite و برنامه بازگردانی را تنظیم کنید.

هیچ پروتکلی امنیت صددرصدی نمی‌سازد، اما اجرای این چک‌لیست بیشتر مسیرهای رایج هک، فیشینگ و تصاحب پیج را می‌بندد. امنیت پیج یک تنظیم یک‌باره نیست؛ فرایندی است که باید ماهانه کنترل شود و با هر تغییر تیم، دستگاه یا دسترسی دوباره بررسی شود.

منابع:

https://help.instagram.com/740480200552298/

https://help.instagram.com/1053588012132894

https://help.instagram.com/369001149843369

https://help.instagram.com/369001149843369

https://www.reddit.com/r/VPN/comments/d0aflf/can_a_vpn_bypass_being_flagged_as_a_suspicious/

https://www.instagram.com/reels/DFX0o7Qy7rI/

https://www.youtube.com/watch?v=hdPmLlsss-Y

https://about.fb.com/news/2023/05/how-meta-protects-businesses-from-malware/

https://app.stationx.net/articles/social-media-hacking-statistics