Forrige weekend blev Jack Dorseys Twitter-konto, grundlægger og administrerende direktør for Twitter, hacket. Efter at have kompromitteret kontoen begyndte angriberne at offentliggøre stødende og racistisk indhold på Dorseys vegne og hævdede endda, at en bombe var blevet placeret på virksomhedens hovedkontor (sådanne trusler kan vanskeligt betragtes som spøg, og de kan føre til en føderal efterforskning i henhold til amerikansk lovgivning).
Ansvaret for angrebet blev påtaget af hackergruppen Chuckle Gang, som tidligere havde hacket andre personer på sociale medier. Næsten intet er kendt om gruppens sammensætning og mål. Dorseys falske tweets var online i omkring en halv time og blev derefter slettet.
Sikkerhedseksperter og brugere konstaterede hurtigt, at CloudHopper var kilden til de uautoriserede beskeder. Dette selskab, der specialiserer sig i SMS-teknologi til Twitter, blev opkøbt i 2010. CloudHopper gør det blandt andet muligt for brugere at sende tweets via SMS. Teorien opstod derfor i fællesskabet om, at angriberne havde fanget Dorseys rigtige telefonnummer ved hjælp af et SIM-kortbytningsangreb og interagerede med hans konto via SMS.
Snart fik denne teori en officiel bekræftelse. Twitter-ledere erklærede, at angrebet skyldtes overvågning fra en mobiloperatør, der var blevet kompromitteret og tillod en uautoriseret person at bruge Dorseys nummer til at sende SMS’er.
Interessant nok har Twitter været klar over denne «svaghed» i lang tid. Således advarede eksperter fra Insinia Security i slutningen af 2018 om farerne ved at bruge SMS-beskeder som anden godkendelsesfaktor og forklarede, hvorfor det var vanskeligt at bruge Twitters funktioner via SMS. Værre endnu findes der artikler på nettet om farerne ved denne funktion fra 2007 og 2009.
Faktum er, at Twitter stadig kan bruges via SMS-beskeder, hvilket var ganske populært ved tjenestens start. Hovedbetingelsen er, at denne funktion understøttes af teleoperatøren. Problemet er, at cyberkriminelle i de senere år i stigende grad har «stjålet» SIM-kort ved at gennemføre det, der kaldes SIM-swap.
Essensen af disse angreb er, at kriminelle henvender sig til offerets mobiloperatørs repræsentanter og anvender social engineering. For eksempel udgiver angriberen sig for at være nummerets ejer, hævder at have mistet eller ødelagt SIM-kortet og forsøger at overføre nummeret til det nye SIM-kort. Derefter stjæler angriberne konti, der er knyttet til telefonnummeret, og overtager dermed andres identitet. Disse angreb bruges ofte til at stjæle store mængder kryptovaluta eller til at kompromittere dyre Instagram-konti.
Hvis en angriber tager en persons telefonnummer, får brugeren straks mange problemer, hvoraf et kan være Twitter. Faktisk kræver det kun at indtaste det telefonnummer, der er knyttet til kontoen, for at overtage en anden persons konto på mikrobloggingnetværket.
Lad mig minde dig om, at Jack Dorsey allerede var blevet hacket i 2016. Dengang påtog hackergruppen OurMine sig ansvaret for angrebet, og hackerne forklarede, at de havde kompromitteret Dorseys Dropbox, hvor de fandt «alle slags Vine-filer», herunder skærmbilleder af kontrolpanelet. Det viste sig, at operatøren af kontrolpanelet kan se personlige oplysninger om folk og deres adgangskoder, hvilket angriberne ikke undlod at udnytte.
