Το Σαββατοκύριακο που μας πέρασε, ο λογαριασμός Twitter του Jack Dorsey, ιδρυτή και διευθύνοντος συμβούλου του Twitter, παραβιάστηκε. Αφού συμβιβάστηκε ο λογαριασμός, οι επιτιθέμενοι άρχισαν να δημοσιεύουν προσβλητικό και ρατσιστικό περιεχόμενο εκ μέρους του Dorsey και ισχυρίστηκαν μάλιστα ότι μια βόμβα είχε τοποθετηθεί στα κεντρικά γραφεία της εταιρείας (τέτοιες απειλές δύσκολα μπορούν να χαρακτηριστούν αστεία, μπορούν να οδηγήσουν σε ομοσπονδιακή έρευνα σύμφωνα με την αμερικανική νομοθεσία).
Την ευθύνη για την επίθεση ανέλαβε η ομάδα χάκερ Chuckle Gang, η οποία είχε ήδη παραβιάσει και άλλες προσωπικότητες στα κοινωνικά δίκτυα. Σχεδόν τίποτα δεν είναι γνωστό για τη σύνθεση και τους στόχους αυτής της ομάδας. Τα ψεύτικα tweets του Dorsey παρέμειναν online για περίπου μισή ώρα και στη συνέχεια διαγράφηκαν.
Οι επαγγελματίες της ασφάλειας και οι χρήστες διαπίστωσαν γρήγορα ότι η πηγή των μη εξουσιοδοτημένων μηνυμάτων ήταν το CloudHopper. Η εταιρεία, που ειδικεύεται στις τεχνολογίες SMS για το Twitter, εξαγοράστηκε το 2010. Το CloudHopper επιτρέπει, μεταξύ άλλων, στους χρήστες να στέλνουν tweets μέσω SMS. Έτσι, εμφανίστηκε στην κοινότητα η θεωρία ότι οι επιτιθέμενοι κατέγραψαν τον πραγματικό αριθμό τηλεφώνου του Dorsey με μια επίθεση ανταλλαγής κάρτας SIM και αλληλεπίδρασαν με τον λογαριασμό του μέσω SMS.
Σύντομα, αυτή η θεωρία έλαβε επίσημη επιβεβαίωση. Εκπρόσωποι του Twitter δήλωσαν ότι η επίθεση οφειλόταν σε παρακολούθηση από έναν πάροχο κινητής τηλεφωνίας, ο οποίος είχε συμβιβαστεί και επέτρεψε σε μη εξουσιοδοτημένο πρόσωπο να χρησιμοποιήσει τον αριθμό του Dorsey για να στέλνει μηνύματα SMS.
Ενδιαφέρον είναι ότι το Twitter γνωρίζει αυτή την «αδυναμία» εδώ και πολύ καιρό. Έτσι, στα τέλη του 2018, οι ειδικοί της Insinia Security προειδοποίησαν για τους κινδύνους της χρήσης μηνυμάτων SMS ως δεύτερου παράγοντα ταυτοποίησης και εξήγησαν γιατί ήταν δύσκολο να χρησιμοποιηθούν οι λειτουργίες του Twitter μέσω SMS. Το χειρότερο είναι ότι στο διαδίκτυο υπάρχουν άρθρα για τους κινδύνους αυτής της λειτουργίας που χρονολογούνται από το 2007 και το 2009.
Το γεγονός είναι ότι το Twitter μπορεί ακόμα να χρησιμοποιηθεί μέσω μηνυμάτων SMS, κάτι που ήταν αρκετά δημοφιλές στην αυγή της εμφάνισης της υπηρεσίας. Βασική προϋπόθεση: η λειτουργία να υποστηρίζεται από τον πάροχο τηλεφωνίας. Το πρόβλημα είναι ότι, τα τελευταία χρόνια, οι κυβερνοεγκληματίες όλο και πιο συχνά «κλέβουν» κάρτες SIM εφαρμόζοντας αυτό που ονομάζεται SIM swap.
Η ουσία αυτών των επιθέσεων είναι ότι ο εγκληματίας απευθύνεται στους εκπροσώπους του κινητού παρόχου του θύματος και χρησιμοποιεί κοινωνική μηχανική. Για παράδειγμα, παριστάνοντας τον κάτοχο του αριθμού, ο επιτιθέμενος ισχυρίζεται ότι έχασε ή έσπασε την κάρτα SIM και προσπαθεί να μεταφέρει τον αριθμό στη νέα κάρτα SIM. Στη συνέχεια, οι επιτιθέμενοι κλέβουν λογαριασμούς συνδεδεμένους με τον αριθμό τηλεφώνου, υφαρπάζοντας έτσι την ταυτότητα άλλων. Αυτές οι επιθέσεις χρησιμοποιούνται συχνά για την κλοπή μεγάλων ποσών κρυπτονομισμάτων ή για τη διακύβευση ακριβών λογαριασμών Instagram.
Αν ένας επιτιθέμενος αποκτήσει τον αριθμό τηλεφώνου ενός ατόμου, ο χρήστης αντιμετωπίζει αμέσως πολλά προβλήματα, ένα από τα οποία μπορεί να είναι το Twitter. Πράγματι, για να αποκτήσει τον έλεγχο του λογαριασμού ενός άλλου ατόμου στο δίκτυο μικροblogging, αρκεί να εισαγάγει τον αριθμό τηλεφώνου που σχετίζεται με αυτόν τον λογαριασμό.
Επιτρέψτε μου να σας υπενθυμίσω ότι ο Jack Dorsey είχε ήδη παραβιαστεί το 2016. Τότε, η ομάδα χάκερ OurMine ανέλαβε την ευθύνη για την επίθεση, και οι χάκερ εξήγησαν ότι είχαν συμβιβάσει το Dropbox του Dorsey, όπου βρήκαν «κάθε είδους αρχεία Vine», συμπεριλαμβανομένων στιγμιότυπων οθόνης του πίνακα ελέγχου. Αποδείχθηκε ότι ο διαχειριστής του πίνακα ελέγχου μπορεί να δει προσωπικές πληροφορίες των ανθρώπων και τους κωδικούς πρόσβασής τους, από τους οποίους οι επιτιθέμενοι δεν παρέλειψαν να επωφεληθούν.
