Sidst i ugen blev Twitter-kontoen tilhørende Jack Dorsey, adm. direktør for Twitter, hacket. Efter at have kompromitteret kontoen begyndte angriberne at publicere stødende og racistisk indhold på Dorseys vegne, og de hævdede endda, at der var placeret en bombe på virksomhedens hovedkvarter. Hackergruppen Chuckle Gang har taget ansvaret for angrebet.
Ifølge officielle oplysninger skyldes angrebet en forglemmelse fra mobiloperatørens side, som angiveligt kompromitterede og tillod en uautoriseret person at bruge Dorseys telefonnummer til at sende sms’er. Faktum er, at Twitter indtil for nylig kunne bruges via sms-beskeder, hvilket var ganske populært i tjenestens tidlige dage. Hovedbetingelsen var, at funktionen blev understøttet af teleoperatøren. Der var engang en grænse på 140 tegn, som netop opstod af netop denne grund: den maksimale længde af sms-beskeder.
Om denne „svaghed“ har Twitter længe været klar over. Allerede i slutningen af 2018 advarede eksperterne fra Insinia Security om farerne ved at bruge sms-beskeder som anden faktor i godkendelsen og forklarede, hvorfor det var vanskeligt at bruge Twitters funktioner via sms. Værre endnu findes der på nettet artikler om farerne ved denne funktion fra 2007 og 2009 .
Problemet er, at cyberkriminelle de seneste år i stigende grad har „stjålet“ brugeres SIM-kort ved at anvende den såkaldte SIM swap-metode. Essensen i disse angreb er, at kriminelle henvender sig til offerets mobiloperatørs medarbejdere og anvender social engineering. For eksempel udgiver angriberen sig for at være nummerets ejer, hævder at have mistet eller ødelagt SIM-kortet og forsøger at overføre nummeret til det nye SIM-kort. Derefter overtager angriberne konti, der er knyttet til telefonnummeret, og tilegner sig dermed andre menneskers identitet. Disse angreb bruges ofte til at stjæle store mængder kryptovaluta eller til at kompromittere dyre Instagram-konti .
Twitters udviklere har meddelt, at de efter Dorsey-hacket har besluttet at deaktivere funktionen til at sende tweets via sms-beskeder. Det understreges, at lukningen er midlertidig, men tidspunktet for genaktivering af funktionen er endnu ikke oplyst. Det er bemærkelsesværdigt, at udviklerne samtidig i en vis grad fralægger sig ansvaret over for mobiloperatørerne og understreger, at disse skal rette sårbarhederne på deres side.
