先週末、Twitterの最高経営責任者であるジャック・ドーシー氏のTwitterアカウントがハッキングされました。攻撃者はアカウントを乗っ取り、ドーシー氏になりすまして攻撃的で人種差別的な投稿を行い、さらに会社の本社に爆弾が仕掛けられたとも主張しました。 この攻撃は、ハッキング集団Chuckle Gangが犯行声明を出しています。
公式発表によると、この攻撃は携帯電話事業者の過失が原因だとされています。事業者がドーシー氏の電話番号を適切に管理せず、権限のない人物がその番号を使ってSMSを送信できる状態にしてしまったとのことです。 実は、最近まで、Twitterはサービス開始当初の人気を背景に、SMSメッセージを通じて利用することができました。 その条件は、携帯電話事業者がこの機能に対応していることでした。 140文字という文字数制限が生まれたのも、まさにこの理由によるものでした。SMSの最大文字数に合わせたためです。
この「弱点」については、Twitterも以前から把握していました。 実際、2018年末にInsinia Securityの専門家が、二要素認証の手段としてSMSメッセージを使うことの危険性について警告し、SMS経由でTwitterの機能を利用することがなぜ難しいのかを説明していました。 さらに、この機能の危険性を指摘する記事は、2007年や2009年にまでさかのぼり、インターネット上に今も残っています。
近年、サイバー犯罪者はSIMスワップと呼ばれる手口を用いて、利用者のSIMカードを「盗む」ケースが増えています。この攻撃の本質は、犯罪者が被害者の携帯電話事業者の担当者に接触し、ソーシャルエンジニアリングを利用することにあります。たとえば、攻撃者は番号の正当な所有者になりすまし、SIMカードを紛失した、または壊れたと主張して、番号を新しいSIMカードに移すよう依頼します。その後、攻撃者は電話番号に紐づいたアカウントを乗っ取り、他人の身元を奪います。こうした攻撃は、多額の暗号資産を盗んだり、価値の高いInstagramアカウントを乗っ取ったりするために、しばしば使われています。
Twitterの開発チームは、ドーシー氏のハッキング事件を受けて、SMSを通じてツイートを送信する機能を無効化することを決定したと発表しました。 この停止は一時的なものだとされていますが、機能を再開する時期はまだ明らかにされていません。 興味深いことに、開発チームは携帯電話事業者にも一定の責任があるとして、事業者側で脆弱性を修正する必要があると強調しています。
