Ende der letzten Woche wurde das Twitter-Konto von Jack Dorsey, CEO von Twitter, gehackt. Nachdem sie das Konto kompromittiert hatten, begannen die Angreifer, im Namen von Dorsey anstößige und rassistische Inhalte zu veröffentlichen, und behaupteten sogar, im Hauptsitz des Unternehmens sei eine Bombe deponiert worden. Die Hackergruppe Chuckle Gang hat die Verantwortung für diesen Angriff übernommen.
Offiziellen Angaben zufolge soll der Angriff auf ein Versäumnis des Mobilfunkbetreibers zurückzuführen sein, der die Rufnummer von Dorsey kompromittiert und einer unbefugten Person erlaubt haben soll, sie zum Versenden von SMS zu nutzen. Tatsache ist, dass Twitter bis vor Kurzem über SMS-Nachrichten genutzt werden konnte, was zu Beginn des Dienstes ziemlich beliebt war. Voraussetzung war vor allem, dass der Telekommunikationsanbieter diese Funktion unterstützt. Die Begrenzung auf 140 Zeichen gab es genau aus diesem Grund: wegen der maximalen Länge von SMS-Nachrichten.
Diese „Schwachstelle“ ist bei Twitter seit Langem bekannt. So warnten Experten von Insinia Security Ende 2018 vor den Gefahren der Verwendung von SMS-Nachrichten als zweiten Authentifizierungsfaktor und erklärten, warum sich Twitter-Funktionen per SMS nur schwer absichern lassen. Schlimmer noch: Im Netz finden sich Artikel über die Gefahren dieser Funktion aus dem Jahr 2007 und 2009.
Das Problem ist, dass Cyberkriminelle in den letzten Jahren zunehmend Nutzer-SIM-Karten „gestohlen“ haben, indem sie das sogenannte SIM-Swapping einsetzen. Das Wesen dieser Angriffe besteht darin, dass sich der Kriminelle an Mitarbeiter des Mobilfunkbetreibers des Opfers wendet und dabei Social Engineering einsetzt. Zum Beispiel gibt sich der Angreifer als Inhaber der Rufnummer aus, behauptet, die SIM-Karte verloren oder zerbrochen zu haben, und versucht, die Nummer auf die neue SIM-Karte übertragen zu lassen. Anschließend übernehmen die Angreifer Konten, die mit der Telefonnummer verknüpft sind, und eignen sich so die Identität anderer Personen an. Solche Angriffe werden häufig genutzt, um große Mengen an Kryptowährung zu stehlen oder wertvolle Instagram-Konten zu kompromittieren .
Die Entwickler von Twitter haben angekündigt, nach dem Hack von Dorsey beschlossen zu haben, die Funktion zum Versenden von Tweets per SMS zu deaktivieren. Es wird betont, dass die Abschaltung nur vorübergehend ist; ein Zeitpunkt für die Wiederaufnahme dieser Funktion ist jedoch noch nicht genannt. Interessanterweise weisen die Entwickler gleichzeitig in gewissem Maße die Verantwortung den Mobilfunkbetreibern zu und betonen, dass diese die Schwachstellen auf ihrer Seite beheben müssen.
