A múlt hétvégén feltörték Jack Dorsey, a Twitter alapítójának és vezérigazgatójának Twitter-fiókját. A fiók megszerzése után a támadók sértő és rasszista tartalmakat kezdtek közzétenni Dorsey nevében, sőt azt állították, hogy bombát helyeztek el a cég székhelyén (az ilyen fenyegetéseket aligha lehet tréfának nevezni, az amerikai jogszabályok értelmében szövetségi nyomozást vonhatnak maguk után).
A támadásért a Chuckle Gang nevű hackercsoport vállalta a felelősséget, amely korábban már más közszereplők közösségimédia-fiókjait is feltörte. A csoport összetételéről és céljairól szinte semmit sem tudni. Dorsey hamis tweetjei nagyjából fél óráig voltak elérhetők, majd törölték őket.
A biztonsági szakemberek és a felhasználók hamar megállapították, hogy az illetéktelen üzenetek forrása a CloudHopper volt. Ezt az SMS-technológiákra specializálódott céget a Twitter 2010-ben vásárolta meg. A CloudHopper egyebek mellett lehetővé teszi a felhasználók számára, hogy SMS-ben küldjenek tweeteket. A közösségben ezért az a feltételezés született, hogy a támadók SIM-csere támadással megszerezték Dorsey valódi telefonszámát, és SMS-ek segítségével léptek kapcsolatba a fiókjával.
Ez az elmélet hamarosan hivatalos megerősítést kapott. A Twitter illetékesei közölték, hogy a támadás egy mobilszolgáltató mulasztására vezethető vissza, amely veszélybe sodorta a számot, és lehetővé tette egy illetéktelen személynek, hogy Dorsey számát használva SMS-eket küldjön.
Érdekes, hogy a Twitter már régóta tisztában van ezzel a „gyengeséggel”. 2018 végén az Insinia Security szakértői például figyelmeztettek az SMS-üzenetek második hitelesítési tényezőként való használatának veszélyeire, és elmagyarázták, miért nehéz a Twitter funkcióit SMS-en keresztül használni. Ami még rosszabb: a neten találhatók a funkció veszélyeiről szóló, 2007-es és 2009-es cikkek is.
Tény, hogy a Twitter még mindig használható SMS-üzenetek útján, ami a szolgáltatás megjelenésének hajnalán meglehetősen népszerű volt. A fő feltétel, hogy a távközlési szolgáltató támogassa ezt a funkciót. A gond az, hogy az elmúlt években a kiberbűnözők egyre gyakrabban „loptak el” SIM-kártyákat az úgynevezett SIM-csere (SIM swap) módszerével.
Ezeknek a támadásoknak az a lényege, hogy a bűnöző az áldozat mobilszolgáltatójának képviselőihez fordul, és social engineeringet alkalmaz. Például a szám tulajdonosának kiadva magát azt állítja, hogy elvesztette vagy eltörte a SIM-kártyáját, és megpróbálja átvinni a számot egy új SIM-kártyára. Ezután a támadók ellopják a telefonszámhoz kötött fiókokat, így mások személyazonosságával élnek vissza. Az ilyen támadásokat gyakran használják nagy összegű kriptovaluta ellopására vagy értékes Instagram-fiókok feltörésére.
Ha egy támadó megszerzi valakinek a telefonszámát, a felhasználó azonnal számos problémával szembesül, és ezek egyike a Twitter lehet. Egy másik személy fiókjának átvételéhez ugyanis a mikroblogos hálózaton elég megadni a fiókhoz tartozó telefonszámot.
Hadd emlékeztessem rá, hogy Jack Dorsey fiókját 2016-ban már egyszer feltörték. Akkor az OurMine hackercsoport vállalta magára a támadást, a hackerek pedig elmondták, hogy behatoltak Dorsey Dropbox-fiókjába, ahol „mindenféle Vine-fájlt” találtak, köztük a vezérlőpult képernyőképeit is. Kiderült, hogy a vezérlőpult kezelője láthatja az emberek személyes adatait és jelszavait, amit a támadók természetesen ki is használtak.
