Lo scorso fine settimana, l’account Twitter di Jack Dorsey, fondatore e CEO di Twitter, è stato violato. Dopo aver compromesso l’account, gli aggressori hanno iniziato a pubblicare contenuti offensivi e razzisti a nome di Dorsey e hanno persino affermato che una bomba era stata piazzata nella sede dell’azienda (minacce di questo tipo difficilmente possono essere considerate scherzi: ai sensi della legislazione americana possono comportare un’indagine federale).
La responsabilità dell’attacco è stata rivendicata dal gruppo di hacker Chuckle Gang, che aveva già violato altre personalità sui social network. Quasi nulla è noto sulla composizione e sugli obiettivi di questo gruppo. I falsi tweet di Dorsey sono rimasti online per circa mezz’ora, poi sono stati rimossi.
Gli esperti di sicurezza e gli utenti hanno rapidamente accertato che CloudHopper era la fonte dei messaggi non autorizzati. Questa società, specializzata in tecnologie SMS, è stata acquisita da Twitter nel 2010. CloudHopper consente, tra le altre cose, agli utenti di inviare tweet via SMS. Nella community è quindi emersa la teoria secondo cui gli aggressori avrebbero ottenuto il vero numero di telefono di Dorsey tramite un attacco di SIM swap e avrebbero interagito con il suo account via SMS.
Ben presto questa teoria ha ricevuto una conferma ufficiale. I responsabili di Twitter hanno dichiarato che l’attacco era dovuto a una negligenza di un operatore di telefonia mobile, che aveva permesso a una persona non autorizzata di usare il numero di Dorsey per inviare SMS.
Va notato che Twitter è a conoscenza di questa «debolezza» da tempo. Alla fine del 2018, ad esempio, gli esperti di Insinia Security avevano messo in guardia dai pericoli dell’uso degli SMS come secondo fattore di autenticazione, spiegando perché fosse difficile utilizzare le funzionalità di Twitter tramite SMS. Peggio ancora, in rete esistono articoli sui pericoli di questa funzionalità che risalgono al 2007 e al 2009.
Il fatto è che Twitter può ancora essere utilizzato tramite messaggi SMS, cosa piuttosto diffusa agli albori del servizio. La condizione principale è che questa funzionalità sia supportata dall’operatore telefonico. Il problema è che, negli ultimi anni, i cybercriminali hanno «rubato» sempre più SIM card mettendo in atto il cosiddetto SIM swap.
L’essenza di questi attacchi è che il criminale si rivolge ai rappresentanti dell’operatore mobile della vittima e ricorre all’ingegneria sociale. Ad esempio, fingendosi il titolare del numero, l’aggressore sostiene di aver perso o rotto la SIM e cerca di trasferire il numero su una nuova SIM. Successivamente, gli aggressori si impossessano degli account collegati al numero di telefono, sottraendo così l’identità di altre persone. Questi attacchi sono spesso utilizzati per rubare grandi quantità di criptovalute o per compromettere account Instagram di valore.
Si un attaquant prend le contrôle du numéro de téléphone d’une personne, celle-ci rencontre immédiatement de nombreux problèmes, dont l’un peut concerner Twitter. En effet, pour prendre le contrôle du compte d’une autre personne sur le réseau de microblogging, il suffit de saisir le numéro de téléphone associé à ce compte.
Vi ricordo che Jack Dorsey era già stato violato nel 2016. In quell’occasione il gruppo di hacker OurMine rivendicò la responsabilità dell’attacco e spiegò di aver compromesso il Dropbox di Dorsey, dove aveva trovato «ogni tipo di file di Vine», compresi gli screenshot del pannello di controllo. Si scoprì che l’operatore del pannello di controllo può vedere i dati personali degli utenti e le loro password, di cui gli aggressori non hanno mancato di approfittare.
