Alla fine della scorsa settimana, l’account Twitter di Jack Dorsey, CEO di Twitter, è stato violato. Dopo aver compromesso l’account, gli aggressori hanno iniziato a pubblicare contenuti offensivi e razzisti a nome di Dorsey e hanno persino affermato che una bomba era stata piazzata presso la sede dell’azienda. Il gruppo di hacker Chuckle Gang ha rivendicato la responsabilità dell’attacco.
Secondo i dati ufficiali, l’attacco sarebbe dovuto a una negligenza da parte dell’operatore di telefonia mobile, che avrebbe compromesso e autorizzato una persona non autorizzata a utilizzare il numero di telefono di Dorsey per inviare SMS. Il fatto è che, fino a poco tempo fa, Twitter poteva essere utilizzato tramite messaggi SMS, cosa piuttosto diffusa agli albori del servizio. La condizione principale: che questa funzionalità fosse supportata dall’operatore telefonico. Il limite di 140 caratteri nacque proprio per questo motivo: a causa della lunghezza massima dei messaggi SMS.
A proposito di questa “debolezza”, Twitter è noto da tempo. Così, alla fine del 2018, gli esperti di Insinia Security hanno messo in guardia sui pericoli dell’uso degli SMS come secondo fattore di autenticazione e hanno spiegato perché fosse difficile utilizzare le funzionalità di Twitter tramite SMS. Peggio ancora, sul web esistono articoli sui pericoli di questa funzionalità risalenti al 2007 e al 2009.
Il problema è che, negli ultimi anni, i criminali informatici hanno sempre più “rubato” le schede SIM degli utenti mettendo in atto il cosiddetto SIM swap. L’essenza di questi attacchi è che il criminale si rivolge ai rappresentanti dell’operatore mobile della vittima e ricorre all’ingegneria sociale. Ad esempio, fingendosi il proprietario del numero, l’attaccante afferma di aver perso o rotto la scheda SIM e tenta di trasferire il numero sulla nuova scheda SIM. Successivamente, gli aggressori sottraggono account collegati al numero di telefono, appropriandosi così dell’identità di altre persone. Questi attacchi vengono spesso utilizzati per rubare ingenti quantità di criptovaluta o per compromettere costosi account Instagram .
Gli sviluppatori di Twitter hanno annunciato che, dopo l’hackeraggio di Dorsey, hanno deciso di disattivare la funzionalità di invio di tweet tramite messaggi SMS. Viene sottolineato che la sospensione è temporanea, tuttavia non è ancora stato comunicato il momento in cui questa funzione sarà ripristinata. È interessante notare che, allo stesso tempo, gli sviluppatori scaricano in una certa misura la responsabilità sugli operatori di telefonia mobile, sottolineando che devono correggere le vulnerabilità dal loro lato.
