Viime viikon lopussa Twitterin toimitusjohtajan Jack Dorseyn Twitter-tili murrettiin. Saatuaan tilin haltuunsa hyökkääjät alkoivat julkaista Dorseyn nimissä loukkaavaa ja rasistista sisältöä, ja he väittivät jopa, että yhtiön pääkonttoriin oli asetettu pommi. Chuckle Gang -hakkeriryhmä otti hyökkäyksen omiin nimiinsä.
Virallisten tietojen mukaan hyökkäys johtui matkapuhelinoperaattorin huolimattomuudesta, jonka seurauksena asiaton taho pääsi käyttämään Dorseyn puhelinnumeroa tekstiviestien lähettämiseen. Asia on nimittäin niin, että Twitteriä saattoi aivan viime aikoihin asti käyttää tekstiviestien välityksellä, mikä oli palvelun alkuaikoina varsin suosittua. Pääehto oli, että teleoperaattori tuki tätä toimintoa. Aikoinaan 140 merkin rajoitus syntyi juuri tästä syystä: tekstiviestien enimmäispituuden vuoksi.
Twitter on tunnettu tästä “heikkoudesta” jo pitkään. Niinpä vuoden 2018 lopulla Insinia Securityn asiantuntijat varoittivat tekstiviestien käyttämisen vaaroista kaksivaiheisen tunnistautumisen toisena tekijänä ja selittivät, miksi Twitterin toimintojen käyttäminen tekstiviestien kautta oli hankalaa. Pahinta on, että verkosta löytyy tämän toiminnon vaaroista kertovia artikkeleita jo vuosilta 2007 ja 2009.
Ongelma on siinä, että viime vuosina kyberrikolliset ovat yhä useammin ”varastaneet” käyttäjien SIM-kortteja toteuttamalla ns. SIM-vaihtohyökkäyksen (SIM swap). Näiden hyökkäysten ydin on, että rikollinen ottaa yhteyttä uhrin matkapuhelinoperaattorin edustajiin ja käyttää sosiaalista manipulointia. Esimerkiksi esiintymällä numeron omistajana hyökkääjä väittää menettäneensä tai rikkoneensa SIM-kortin ja yrittää siirtää numeron uuteen SIM-korttiin. Tämän jälkeen hyökkääjät kaappaavat numeroon liittyvät tilit ja anastavat näin toisten ihmisten henkilöllisyyden. Näitä hyökkäyksiä käytetään usein suurten määrien kryptovaluuttojen varastamiseen tai kalliiden Instagram-tilien vaarantamiseen.
Twitterin kehittäjät ilmoittivat, että Dorseyn tilin kaappauksen jälkeen he olivat päättäneet poistaa käytöstä twiittien lähettämisen tekstiviestien kautta. Korostetaan, että keskeytys on tilapäinen, mutta toiminnon palauttamisen ajankohtaa ei ole vielä ilmoitettu. Mielenkiintoista on, että samalla kehittäjät vierittävät jossain määrin vastuuta matkapuhelinoperaattoreille ja korostavat, että näiden on korjattava haavoittuvuudet omalla puolellaan.
