À la fin de la semaine dernière, le compte Twitter de Jack Dorsey, PDG de Twitter, a sido hackeado. Tras comprometer la cuenta, los atacantes comenzaron a publicar contenido ofensivo y racista en nombre de Dorsey, e incluso afirmaron que se había colocado una bomba en la sede de la empresa. El grupo de hackers Chuckle Gang se atribuyó la responsabilidad de este ataque.
Según cifras oficiales, el ataque se debió a un descuido por parte del operador de telefonía móvil, que habría comprometido y permitido a una persona no autorizada utilizar el número de teléfono de Dorsey para enviar mensajes SMS. El hecho es que, hasta hace poco, Twitter podía utilizarse mediante mensajes SMS, lo que resultaba bastante popular al inicio del servicio. La condición principal: que esta función fuera compatible con el operador de telecomunicaciones. Hubo una vez un límite de 140 caracteres que apareció precisamente por esta razón: debido a la longitud máxima de los mensajes SMS.
Esta «debilidad» es conocida desde hace tiempo por Twitter. Así, a finales de 2018, los expertos de Insinia Security advirtieron sobre los peligros de utilizar los mensajes SMS como segundo factor de autenticación y explicaron por qué era difícil usar las funciones de Twitter a través de SMS. Peor aún, en internet existen artículos sobre los peligros de esta función que datan de 2007 y 2009.
El problema es que, en los últimos años, los ciberdelincuentes han «robado» cada vez más tarjetas SIM de usuarios mediante la aplicación de lo que se conoce como SIM swap. La esencia de estos ataques es que el delincuente se dirige a los representantes del operador móvil de la víctima y recurre a la ingeniería social. Por ejemplo, haciéndose pasar por el propietario del número, el atacante afirma haber perdido o roto la tarjeta SIM e intenta transferir el número a la nueva tarjeta SIM. Después, los atacantes secuestran las cuentas vinculadas al número de teléfono, apoderándose así de la identidad de otras personas. Estos ataques se utilizan con frecuencia para robar grandes cantidades de criptomonedas o para comprometer cuentas de Instagram de alto valor .
Los desarrolladores de Twitter anunciaron que, tras el hackeo de Dorsey, habían decidido desactivar la función de envío de tweets mediante mensajes SMS. Se subraya que la suspensión es temporal; sin embargo, aún no se ha anunciado cuándo se restablecerá esta función. Resulta interesante señalar que, al mismo tiempo, los desarrolladores atribuyen en cierta medida la responsabilidad a los operadores de telefonía móvil, subrayando que deben corregir las vulnerabilidades de su parte.
