InstaAgent: Alternative Instagram-App war wohl auf Passwörter aus

Eine Drittanbieter-App für das populäre Foto-Netzwerk Instagram hatte offenbar einzig den Zweck, Login-Daten von Nutzern abzugreifen. Dabei handelte es sich um das Programm InstaAgent, das von hunderttausenden Anwendern heruntergeladen worden war. Das Verhalten der App war einem iOS-Entwickler aufgefallen, der den Netzwerk-Verkehr der App genauer unter die Lupe genommen hatte. Hier zeigte sich, dass InstaAgent den Nutzernamen und das Passwort, mit dem die Nutzer sich in ihren Instagram-Account einloggten, unverschlüsselt an einen fremden Server schickte.


Den Entwicklern der App gelang es, diese in die offiziellen Download-Verzeichnisse von Android und iOS zu bringen. Dort kletterte sie bis auf die oberen Plätze der Download-Charts in der jeweiligen Rubrik und konnte entsprechend das Interesse zumindest einiger hunderttausend Nutzer wecken, die hier vermeintlich einen alternativen Client geboten bekamen, der einige zusätzliche Features bereitstellte. Die App-Prüfer bei Google und Apple hatten den eigentlichen Zweck des Programms offenbar nicht erkannt.

Plattform-Betreiber reagieren

Als der Entwickler, der sich die Funktionalität näher angesehen hatte, seine Erkenntnisse über seinen Twitter-Account bekannt machte, reagierten die Betreiber der großen Mobile-Plattformen umgehend. Google entfernte die App sofort aus dem Play Store, bei Apple dauerte es hingegen einige Stunden, bis auch hier eine Löschung erfolgte.

Wer die App heruntergeladen und sich über sie in seinen Instagram-Account eingeloggt hat, sollte vorsichtshalber sein Passwort schnellstmöglich ändern. Dies gilt dabei im Grunde für alle Dienste, bei denen die gleiche Kennung zum Einsatz kommt. Denn es ist anzunehmen, dass die Anbieter der App es nicht zwingend darauf abgesehen haben, fremde Instagram-Accounts zu übernehmen. Vielmehr dürften sie darauf spekulieren, dass viele Anwender die gleichen Kennungen auch für andere Online-Anwendungen verwenden.