في نهاية الأسبوع الماضي، تعرّض حساب جاك دورسي، مؤسس تويتر ورئيسها التنفيذي، للاختراق. وبعد السيطرة على الحساب، بدأ المهاجمون بنشر محتوى مسيء وعنصري باسم دورسي، بل زعموا أن قنبلة قد زُرعت في مقر الشركة (ولا يمكن اعتبار مثل هذه التهديدات مجرد مزحة، فقد تؤدي إلى تحقيق فيدرالي وفقًا للقانون الأمريكي).
تبنّت الهجوم مجموعة القرصنة Chuckle Gang، التي سبق أن اخترقت حسابات شخصيات أخرى على مواقع التواصل الاجتماعي. ولا يُعرف تقريبًا أي شيء عن تركيبة هذه المجموعة وأهدافها. وقد بقيت تغريدات دورسي المزيفة على الإنترنت نحو نصف ساعة قبل أن تُحذف.
سرعان ما لاحظ خبراء الأمن والمستخدمون أن CloudHopper كانت مصدر الرسائل غير المصرّح بها. وهذه الشركة المتخصصة في تقنيات الرسائل القصيرة (SMS) استحوذت عليها تويتر عام 2010. وتتيح CloudHopper للمستخدمين، على وجه الخصوص، إرسال التغريدات عبر الرسائل القصيرة. ومن هنا ظهرت في المجتمع التقني نظرية مفادها أن المهاجمين استولوا على رقم هاتف دورسي الفعلي عبر هجوم تبديل شريحة SIM، وتفاعلوا مع حسابه عبر الرسائل القصيرة.
وسرعان ما حصلت هذه النظرية على تأكيد رسمي. فقد صرّح مسؤولون في تويتر بأن الهجوم نتج عن تقصير من أحد مشغّلي الهاتف المحمول، الذي تعرّض للاختراق وسمح لشخص غير مصرّح له باستخدام رقم دورسي لإرسال الرسائل القصيرة.
ومن المثير للاهتمام أن تويتر تعلم بهذه «الثغرة» منذ زمن طويل. ففي أواخر عام 2018، حذّر خبراء Insinia Security من مخاطر استخدام الرسائل القصيرة كعامل ثانٍ للمصادقة، وشرحوا لماذا يصعب استخدام ميزات تويتر عبر الرسائل القصيرة. والأسوأ من ذلك أن هناك مقالات عن مخاطر هذه الميزة تعود إلى عام 2007 وعام 2009 منشورة على الإنترنت.
والواقع أنه لا يزال بالإمكان استخدام تويتر عبر الرسائل القصيرة، وهو ما كان شائعًا جدًا في بدايات ظهور الخدمة. والشرط الأساسي هو أن يدعم مشغّل الاتصالات هذه الميزة. أما المشكلة فهي أن مجرمي الإنترنت «سرقوا» في السنوات الأخيرة شرائح SIM بشكل متزايد عبر ما يُعرف بتبديل الشريحة (SIM swap).
تقوم فكرة هذه الهجمات على أن المجرم يتوجّه إلى ممثلي مشغّل الهاتف المحمول الخاص بالضحية ويستخدم الهندسة الاجتماعية. فعلى سبيل المثال، ينتحل المهاجم صفة صاحب الرقم، ويدّعي أنه فقد شريحة SIM أو تلفت، ويحاول نقل الرقم إلى شريحة جديدة. بعد ذلك يسرق المهاجمون الحسابات المرتبطة برقم الهاتف، منتحلين بذلك هوية الآخرين. وغالبًا ما تُستخدم هذه الهجمات لسرقة مبالغ كبيرة من العملات المشفّرة أو لاختراق حسابات إنستغرام الثمينة.
إذا استولى مهاجم على رقم هاتف شخص ما، يواجه المستخدم فورًا العديد من المشكلات، وقد يكون تويتر إحداها. فللسيطرة على حساب شخص آخر في شبكة التدوين المصغّر، يكفي إدخال رقم الهاتف المرتبط بذلك الحساب.
أذكّركم بأن جاك دورسي سبق أن تعرّض للاختراق عام 2016. حينها تبنّت مجموعة القرصنة OurMine الهجوم، وأوضح القراصنة أنهم اخترقوا حساب Dropbox الخاص بدورسي، حيث عثروا على «جميع أنواع ملفات Vine»، بما في ذلك لقطات شاشة للوحة التحكم. وتبيّن أن مشغّل لوحة التحكم يمكنه الاطلاع على المعلومات الشخصية للأشخاص وكلمات مرورهم، وهو ما لم يفوّت المهاجمون فرصة الاستفادة منه.
