Am vergangenen Wochenende wurde der Twitter-Account von Jack Dorsey, dem Gründer und CEO von Twitter, gehackt. Nachdem sie den Account kompromittiert hatten, begannen die Angreifer, in Dorseys Namen beleidigende und rassistische Inhalte zu veröffentlichen, und behaupteten sogar, im Hauptsitz des Unternehmens sei eine Bombe platziert worden (solche Drohungen lassen sich kaum als Scherz bezeichnen; nach US-Recht können sie Ermittlungen auf Bundesebene nach sich ziehen).
Die Verantwortung für den Angriff übernahm die Hackergruppe Chuckle Gang, die bereits zuvor andere Persönlichkeiten in den sozialen Netzwerken gehackt hatte. Über die Zusammensetzung und die Ziele dieser Gruppe ist fast nichts bekannt. Die gefälschten Tweets von Dorsey waren etwa eine halbe Stunde lang online und wurden dann gelöscht.
Sicherheitsexperten und Nutzer stellten schnell fest, dass CloudHopper die Quelle der nicht autorisierten Nachrichten war. Dieses auf SMS-Technologien spezialisierte Unternehmen wurde 2010 von Twitter übernommen. CloudHopper ermöglicht es Nutzern unter anderem, Tweets per SMS zu versenden. In der Community kam daher die Theorie auf, die Angreifer hätten Dorseys echte Telefonnummer mithilfe eines SIM-Swapping-Angriffs übernommen und über SMS mit seinem Account interagiert.
Bald erhielt diese Theorie eine offizielle Bestätigung. Twitter-Verantwortliche erklärten, der Angriff sei auf ein Versäumnis eines Mobilfunkanbieters zurückzuführen, wodurch eine unbefugte Person Dorseys Nummer zum Senden von SMS nutzen konnte.
Interessanterweise ist Twitter diese „Schwachstelle“ schon lange bekannt. So warnten die Experten von Insinia Security bereits Ende 2018 vor den Gefahren, SMS-Nachrichten als zweiten Authentifizierungsfaktor zu verwenden, und erklärten, warum es schwierig sei, die Funktionen von Twitter per SMS zu nutzen. Schlimmer noch: Im Netz finden sich Artikel über die Gefahren dieser Funktion aus den Jahren 2007 und 2009.
Tatsache ist, dass Twitter nach wie vor per SMS-Nachrichten genutzt werden kann, was in den Anfangstagen des Dienstes recht beliebt war. Die wichtigste Voraussetzung: Der Mobilfunkanbieter muss diese Funktion unterstützen. Das Problem ist, dass Cyberkriminelle in den letzten Jahren zunehmend SIM-Karten „gestohlen“ haben, indem sie das sogenannte SIM-Swapping anwenden.
Das Wesen dieser Angriffe besteht darin, dass sich der Kriminelle an Mitarbeiter des Mobilfunkanbieters des Opfers wendet und Social Engineering einsetzt. Indem er sich beispielsweise als Inhaber der Nummer ausgibt, behauptet der Angreifer, die SIM-Karte verloren oder beschädigt zu haben, und versucht, die Nummer auf eine neue SIM-Karte zu übertragen. Anschließend übernehmen die Angreifer mit der Telefonnummer verknüpfte Accounts und stehlen so die Identität anderer Menschen. Solche Angriffe werden häufig genutzt, um große Mengen an Kryptowährung zu stehlen oder wertvolle Instagram-Accounts zu kompromittieren.
Übernimmt ein Angreifer die Telefonnummer einer Person, sieht sich der Nutzer sofort mit zahlreichen Problemen konfrontiert, eines davon kann Twitter sein. Um die Kontrolle über das Konto einer anderen Person im Mikroblogging-Netzwerk zu übernehmen, genügt es nämlich, die mit diesem Konto verknüpfte Telefonnummer einzugeben.
Ich möchte Sie daran erinnern, dass Jack Dorsey bereits 2016 gehackt wurde. Damals übernahm die Hackergruppe OurMine die Verantwortung für den Angriff, und die Hacker erklärten, sie hätten Dorseys Dropbox kompromittiert, wo sie „alle möglichen Vine-Dateien“ gefunden hätten, darunter Screenshots des Kontrollpanels. Es stellte sich heraus, dass der Bediener des Kontrollpanels persönliche Informationen über Personen und deren Passwörter einsehen kann, was die Angreifer sich nicht entgehen ließen.
