A múlt hét végén feltörték Jack Dorsey, a Twitter vezérigazgatójának Twitter-fiókját. A fiók feletti irányítás megszerzése után a támadók sértő és rasszista tartalmakat kezdtek közzétenni Dorsey nevében, sőt azt állították, hogy bombát helyeztek el a vállalat székhelyén. A támadásért a Chuckle Gang nevű hackercsoport vállalta a felelősséget.
Según a hivatalos adatok szerint a támadás mögött az mobilszolgáltató mulasztása állhat, amely összeesküdött, vagy engedélyezte, hogy illetéktelen személy Dorsey telefonszámát SMS-ek küldésére használja. A helyzet az, hogy egészen a közelmúltig a Twitter SMS-üzeneteken keresztül is használható volt, ami a szolgáltatás megjelenésének hajnalán igen népszerű volt. A fő feltétel: a funkciót a távközlési szolgáltatónak is támogatnia kell. A 140 karakteres korlát éppen emiatt jelent meg: az SMS-üzenetek maximális hossza miatt.
A Twitter régóta tisztában van ezzel a “gyengeséggel”. A 2018 végén az Insinia Security szakértői figyelmeztettek arra, hogy az SMS-üzenetek második hitelesítési tényezőként való használata veszélyes, és elmagyarázták, miért nehéz a Twitter funkcióit SMS-en keresztül használni. Ami még rosszabb, az interneten már 2007 és 2009 óta vannak cikkek e funkció veszélyeiről.
A probléma az, hogy az elmúlt években a kiberbűnözők egyre gyakrabban „lopnak” felhasználói SIM-kártyákat az úgynevezett SIM-csere (SIM swap) módszerrel. Ezeknek a támadásoknak a lényege, hogy a bűnöző az áldozat mobilszolgáltatójának munkatársaihoz fordul, és társadalmi mérnöki (social engineering) eszközöket alkalmaz. Például a szám tulajdonosának kiadva magát a támadó azt állítja, hogy elvesztette vagy eltörte a SIM-kártyát, és megpróbálja átvinni a számot az új SIM-kártyára. Ezután a támadók a telefonszámhoz kötött fiókokat feltörik, így más személyek identitását lopják el. Ezeket a támadásokat gyakran használják nagy mennyiségű kriptovaluta ellopására, vagy értékes Instagram-fiókok veszélyeztetésére.
A Twitter fejlesztői bejelentették, hogy Dorsey feltörését követően úgy döntöttek, hogy letiltják a SMS-üzeneteken keresztüli tweetküldés funkcióját. Hangsúlyozzák, hogy a leállítás átmeneti, azonban a funkció visszaállításának időpontja még nincs megnevezve. Érdekes módon a fejlesztők ugyanakkor bizonyos mértékben a mobilszolgáltatókra hárítják a felelősséget, és hangsúlyozzák, hogy nekik kell javítaniuk a saját oldalukon lévő sebezhetőségeket.
