Minulý víkend byl napaden Twitter účet Jacka Dorseyho, zakladatele a generálního ředitele Twitteru. Po získání kontroly nad účtem začali útočníci jménem Dorseyho zveřejňovat urážlivý a rasistický obsah a dokonce tvrdili, že v sídle společnosti byla nastražena bomba (takové výhrůžky lze jen stěží označit za žert, podle amerických zákonů mohou vést k federálnímu vyšetřování).
K útoku se přihlásila hackerská skupina Chuckle Gang, která už dříve napadla další osobnosti na sociálních sítích. O složení a cílech této skupiny není známo téměř nic. Falešné tweety Dorseyho zůstaly online zhruba půl hodiny a poté byly odstraněny.
Bezpečnostní odborníci i uživatelé si brzy všimli, že zdrojem neautorizovaných zpráv byla služba CloudHopper. Tuto společnost specializující se na technologie SMS koupil Twitter v roce 2010. CloudHopper uživatelům mimo jiné umožňuje odesílat tweety prostřednictvím SMS. V komunitě se proto objevila teorie, že útočníci převzali Dorseyho skutečné telefonní číslo pomocí útoku typu SIM swap a s jeho účtem komunikovali přes SMS.
Tato teorie brzy dostala oficiální potvrzení. Představitelé Twitteru uvedli, že útok byl důsledkem nedopatření mobilního operátora, který umožnil neoprávněné osobě používat Dorseyho číslo k odesílání SMS.
Zajímavé je, že Twitter o této „slabině“ ví už dlouho. Odborníci ze společnosti Insinia Security již koncem roku 2018 varovali před riziky používání SMS zpráv jako druhého faktoru ověřování a vysvětlili, proč je problematické používat funkce Twitteru přes SMS. A co je horší, články o nebezpečí této funkce na internetu existují už od roku 2007 a 2009.
Jde o to, že Twitter lze stále používat prostřednictvím SMS zpráv, což bylo na úsvitu služby poměrně oblíbené. Hlavní podmínkou je, aby tuto funkci podporoval telekomunikační operátor. Problém je v tom, že kyberzločinci v posledních letech stále častěji „kradou“ SIM karty pomocí takzvaného SIM swapu.
Podstata těchto útoků spočívá v tom, že se zločinec obrátí na zástupce mobilního operátora oběti a využije sociální inženýrství. Například se vydává za majitele čísla, tvrdí, že SIM kartu ztratil nebo rozbil, a snaží se číslo převést na novou SIM kartu. Poté útočníci přebírají účty navázané na telefonní číslo a zneužívají identitu jiných lidí. Tyto útoky se často používají ke krádeži velkého množství kryptoměn nebo k napadení cenných účtů na Instagramu.
Pokud útočník převezme něčí telefonní číslo, uživatel se okamžitě potýká s řadou problémů a jedním z nich může být Twitter. K převzetí cizího účtu na mikroblogovací síti totiž stačí zadat telefonní číslo, které je k tomuto účtu přiřazeno.
Připomínám, že Jack Dorsey byl napaden již v roce 2016. Tehdy se k útoku přihlásila hackerská skupina OurMine a hackeři vysvětlili, že se dostali do Dorseyho Dropboxu, kde našli „všemožné soubory z Vine“, včetně snímků obrazovky ovládacího panelu. Ukázalo se, že operátor ovládacího panelu vidí osobní údaje lidí i jejich hesla, čehož útočníci nezapomněli využít.
