Akhir pekan lalu, akun Twitter milik Jack Dorsey, pendiri sekaligus CEO Twitter, diretas. Setelah berhasil menguasai akun tersebut, para peretas mulai mengunggah konten yang menyinggung dan rasis atas nama Dorsey, bahkan mengklaim bahwa sebuah bom telah dipasang di kantor pusat perusahaan (ancaman semacam ini sulit disebut lelucon, karena menurut hukum Amerika Serikat dapat berujung pada penyelidikan federal).
Pihak yang mengaku bertanggung jawab atas serangan ini adalah grup peretas Chuckle Gang, yang sebelumnya sudah pernah meretas tokoh-tokoh lain di media sosial. Hampir tidak ada yang diketahui tentang susunan anggota maupun tujuan grup ini. Tweet palsu Dorsey bertahan daring sekitar setengah jam sebelum akhirnya dihapus.
Para profesional keamanan dan pengguna dengan cepat menemukan bahwa CloudHopper adalah sumber pesan tanpa izin tersebut. Perusahaan yang berfokus pada teknologi SMS ini diakuisisi oleh Twitter pada 2010. CloudHopper antara lain memungkinkan pengguna mengirim tweet lewat SMS. Karena itu, muncul teori di komunitas bahwa para peretas telah menguasai nomor telepon asli Dorsey melalui serangan SIM swap dan berinteraksi dengan akunnya melalui SMS.
Tak lama kemudian, teori ini mendapat konfirmasi resmi. Pejabat Twitter menyatakan bahwa serangan tersebut disebabkan oleh kelalaian pengawasan operator seluler, yang membuat seseorang tanpa izin dapat menggunakan nomor Dorsey untuk mengirim SMS.
Menariknya, Twitter sudah lama menyadari “kelemahan” ini. Pada akhir 2018, pakar dari Insinia Security telah memperingatkan bahaya penggunaan pesan SMS sebagai faktor autentikasi kedua dan menjelaskan mengapa fitur Twitter via SMS sulit digunakan dengan aman. Lebih buruk lagi, artikel tentang bahaya fitur ini sudah ada di internet sejak 2007 dan 2009.
Faktanya, Twitter masih dapat digunakan melalui pesan SMS, yang cukup populer di masa awal kemunculan layanan ini. Syarat utamanya: fitur tersebut harus didukung oleh operator telekomunikasi. Masalahnya, dalam beberapa tahun terakhir, para penjahat siber semakin sering “mencuri” kartu SIM dengan apa yang disebut SIM swap.
Inti dari serangan semacam ini adalah pelaku menghubungi perwakilan operator seluler korban dan memanfaatkan rekayasa sosial. Misalnya, dengan berpura-pura sebagai pemilik nomor, penyerang mengaku kehilangan atau merusak kartu SIM dan berusaha memindahkan nomor tersebut ke kartu SIM baru. Setelah itu, para penyerang mengambil alih akun yang terhubung dengan nomor telepon tersebut sehingga dapat menyamar sebagai orang lain. Serangan ini sering digunakan untuk mencuri mata uang kripto dalam jumlah besar atau membajak akun Instagram bernilai tinggi.
Jika penyerang mengambil alih nomor telepon seseorang, pengguna tersebut langsung menghadapi banyak masalah, salah satunya bisa terjadi di Twitter. Pasalnya, untuk menguasai akun orang lain di jaringan mikroblog ini, cukup dengan memasukkan nomor telepon yang terkait dengan akun tersebut.
Perlu saya ingatkan bahwa Jack Dorsey sebenarnya sudah pernah diretas pada 2016. Saat itu, grup peretas OurMine mengaku bertanggung jawab atas serangan tersebut, dan para peretas menjelaskan bahwa mereka telah membobol Dropbox milik Dorsey, tempat mereka menemukan “berbagai macam file Vine”, termasuk tangkapan layar panel kontrol. Ternyata operator panel kontrol dapat melihat informasi pribadi pengguna beserta kata sandi mereka, dan para penyerang tentu tidak menyia-nyiakan hal itu.
