先週末、Twitter の創業者兼CEOであるジャック・ドーシーのアカウントがハッキングされました。アカウントを乗っ取った攻撃者は、ドーシー氏の名前で攻撃的で人種差別的な投稿を始め、さらに会社の本社に爆弾が仕掛けられたとも主張しました（このような脅迫は悪ふざけとは言いがたく、米国の法律に基づき連邦捜査の対象となる可能性があります）。
この攻撃の犯行声明を出したのは、これまでにも他の著名人のSNSアカウントをハッキングしてきたハッカー集団「Chuckle Gang」です。この集団の構成員や目的についてはほとんど知られていません。ドーシー氏になりすました偽のツイートはおよそ30分間オンライン上に残った後、削除されました。
セキュリティの専門家やユーザーは、不正な投稿の発生源が CloudHopper であることにすぐに気づきました。Twitter の SMS 技術を専門とするこの企業は、2010年に買収されています。CloudHopper を使うと、ユーザーはSMSでツイートを送信することができます。そこでコミュニティでは、攻撃者がSIMカードのスワップ攻撃によってドーシー氏の実際の電話番号を入手し、SMSを通じてそのアカウントを操作していたのではないかという説が浮上しました。
まもなく、この説は公式に確認されました。Twitter の担当者は、攻撃は携帯電話会社の不備が原因であり、その不備によって権限のない第三者がドーシー氏の番号を使ってSMSを送信できるようになっていたと発表しました。
興味深いことに、Twitter はこの「弱点」を以前から認識していました。2018年末には、Insinia Security の専門家が、二要素認証の手段としてSMSを利用することの危険性について警告し、SMS経由でTwitterの機能を利用することがなぜ難しいのかを説明していました。さらに、このSMS機能の危険性を指摘する記事は、インターネット上に2007年や2009年の時点で既に存在しています。
実際、Twitter は今でもSMSメッセージ経由で利用することができ、これはサービス開始当初にはかなり一般的な方法でした。ただし、その前提条件は、この機能を携帯電話会社がサポートしていることです。問題は、近年、サイバー犯罪者が「SIMスワップ」と呼ばれる手法を用いて、SIMカードを次々と「盗んで」いることです。
こうした攻撃の本質は、犯罪者が被害者の携帯電話会社の担当者に接触し、ソーシャルエンジニアリングを用いる点にあります。例えば、攻撃者は番号の正規の持ち主になりすまし、SIMカードを紛失した、または壊したと主張して、番号を新しいSIMカードへ移すよう依頼します。その後、攻撃者は電話番号に紐づいたアカウントを乗っ取り、他人の身元を奪います。こうした攻撃は、多額の暗号資産を盗んだり、価値の高いInstagramアカウントを乗っ取ったりするためによく使われます。
攻撃者に電話番号を奪われると、ユーザーはすぐに多くの問題に直面しますが、その一つがTwitterである可能性もあります。マイクロブログサービスで他人のアカウントを乗っ取るには、そのアカウントに紐づいた電話番号を入力するだけでよいからです。
念のため申し上げると、ジャック・ドーシー氏は2016年にも一度ハッキングされています。当時は、ハッキンググループ「OurMine」が攻撃の犯行声明を出し、ドーシー氏のDropboxに侵入して「あらゆる種類のVineファイル」を発見したと説明しました。そこには管理パネルのスクリーンショットも含まれていました。その管理パネルの運営者は、人々の個人情報やパスワードを閲覧できることが判明しており、攻撃者はそれを十分に悪用しました。
