El fin de semana pasado, la cuenta de Twitter de Jack Dorsey, fundador y director ejecutivo de Twitter, fue hackeada. Tras comprometer la cuenta, los atacantes comenzaron a publicar contenido ofensivo y racista en nombre de Dorsey, e incluso afirmaron que se había colocado una bomba en la sede de la empresa (amenazas de este tipo difícilmente pueden considerarse bromas, pues pueden dar lugar a una investigación federal conforme a la legislación estadounidense).
La autoría del ataque fue reivindicada por el grupo de hackers Chuckle Gang, que ya había hackeado a otras figuras públicas en las redes sociales. Casi nada se sabe sobre la composición y los objetivos de este grupo. Los falsos tuits de Dorsey permanecieron en línea durante unos treinta minutos y después fueron eliminados.
Los profesionales de la seguridad y los usuarios no tardaron en constatar que CloudHopper era la fuente de los mensajes no autorizados. Esta empresa, especializada en tecnologías de SMS y Twitter, fue adquirida en 2010. CloudHopper permite, entre otras cosas, enviar tuits por SMS. Así, surgió en la comunidad la teoría de que los atacantes habían capturado el número de teléfono real de Dorsey mediante un ataque de intercambio de tarjeta SIM e interactuado con su cuenta por SMS.
Pronto, esta teoría recibió una confirmación oficial. Representantes de Twitter declararon que el ataque se debió a la vigilancia de un operador de telefonía móvil que había sido comprometido y que permitió a una persona no autorizada utilizar el número de Dorsey para enviar SMS.
Curiosamente, Twitter conoce esta «debilidad» desde hace tiempo. Así, a finales de 2018, los expertos de Insinia Security advirtieron sobre los peligros de utilizar los mensajes SMS como segundo factor de autenticación y explicaron por qué resultaba difícil usar las funciones de Twitter por SMS. Peor aún, en Internet existen artículos sobre los peligros de esta función fechados en 2007 y 2009.
Lo cierto es que Twitter sigue pudiendo utilizarse mediante mensajes SMS, algo bastante popular en los inicios del servicio. La condición principal es que el operador de telefonía lo admita. El problema es que, en los últimos años, los ciberdelincuentes han «robado» cada vez más tarjetas SIM mediante lo que se conoce como intercambio de SIM (SIM swap).
La esencia de estos ataques es que el delincuente se dirige a los representantes del operador móvil de la víctima y recurre a la ingeniería social. Por ejemplo, haciéndose pasar por el titular del número, el atacante afirma haber perdido o roto la tarjeta SIM e intenta transferir el número a la nueva tarjeta. Después, los atacantes se apropian de cuentas vinculadas al número de teléfono, usurpando así la identidad de otras personas. Estos ataques suelen utilizarse para robar grandes cantidades de criptomonedas o para comprometer cuentas costosas de Instagram.
Si un atacante se hace con el número de teléfono de una persona, el usuario enfrenta de inmediato numerosos problemas, entre los que puede estar Twitter. En efecto, para tomar el control de la cuenta de otra persona en la red de microblogging basta con introducir el número de teléfono asociado a dicha cuenta.
Permítanme recordarles que Jack Dorsey ya había sido hackeado en 2016. En aquella ocasión, el grupo de hackers OurMine se atribuyó el ataque y explicó que habían comprometido el Dropbox de Dorsey, donde encontraron «todo tipo de archivos de Vine», incluidas capturas de pantalla del panel de control. Resultó que el operador del panel de control puede ver información personal de las personas y sus contraseñas, de lo que los atacantes no dudaron en sacar provecho.
