В конце прошлой недели Twitter-акаунтът на Джак Дорси, главен изпълнителен директор на Twitter, беше взлом. След като компрометирали акаунта, нападателите започнали да публикуват обиден и расистки съдържание от името на Дорси и дори твърдяли, че в централата на компанията е поставена бомба. Хакерската група Chuckle Gang пое отговорност за тази атака.
Според официални данни атаката се дължи на пропуск от страна на мобилния оператор, който е компрометирал и разрешил на неупълномощено лице да използва телефонния номер на Дорси за изпращане на SMS съобщения. Факт е, че до скоро Twitter можеше да се използва чрез SMS съобщения, което беше доста популярно в зората на появата на услугата. Основното условие: тази функция да се поддържа от телекомуникационния оператор. Ограничението от 140 символа някога се появи точно по тази причина: поради максималната дължина на SMS съобщенията.
За тази „слабост“ Twitter отдавна е известен. Така например в края на 2018 г. експертите от Insinia Security предупредиха за опасностите от използването на SMS съобщения като втори фактор за удостоверяване и обясниха защо е трудно да се използват функциите на Twitter чрез SMS. Още по-лошото е, че в интернет има статии за опасностите от тази функция още от 2007 и 2009 година.
Проблемът е, че през последните години киберпрестъпниците все по-често «крадат» SIM карти на потребители, прилагайки т.нар. SIM swap. Същността на тези атаки е, че престъпникът се обръща към представители на мобилния оператор на жертвата и използва социално инженерство. Например, представяйки се за собственик на номера, нападателят твърди, че е загубил или счупил SIM картата, и се опитва да прехвърли номера на новата SIM карта. След това нападателите крадат акаунти, свързани с телефонния номер, и по този начин присвояват самоличността на други хора. Тези атаки често се използват за кражба на големи количества криптовалута или за компрометиране на скъпи Instagram акаунти .
Разработчиците на Twitter обявиха, че след взлома на Дорси са решили да деактивират функцията за изпращане на туитове чрез SMS съобщения. Подчертава се, че спирането е временно, но засега не е съобщено кога тази функция ще бъде възстановена. Интересното е, че в същото време разработчиците в известна степен прехвърлят отговорността върху мобилните оператори, подчертавайки, че те трябва да отстранят уязвимостите от своя страна.
