지난 주말 트위터의 창업자이자 CEO인 잭 도시의 트위터 계정이 해킹당했습니다. 계정을 장악한 공격자들은 도시의 이름으로 공격적이고 인종차별적인 콘텐츠를 게시하기 시작했고, 심지어 회사 본사에 폭탄이 설치되었다고 주장하기까지 했습니다(이런 위협은 장난이라고 보기 어려우며, 미국 법에 따라 연방 수사로 이어질 수 있습니다).
이번 공격에 대한 책임은 이미 다른 유명 인사들의 소셜 미디어 계정을 해킹한 적이 있는 해킹 그룹 Chuckle Gang이 주장했습니다. 이 그룹의 구성과 목적에 대해서는 거의 알려진 바가 없습니다. 도시의 가짜 트윗은 약 30분 동안 온라인에 게시되었다가 삭제되었습니다.
보안 전문가와 사용자들은 허가되지 않은 메시지의 출처가 CloudHopper라는 사실을 빠르게 확인했습니다. SMS 기술을 전문으로 하는 이 회사는 2010년에 트위터에 인수되었습니다. CloudHopper를 통해 사용자는 SMS로 트윗을 보낼 수 있습니다. 그래서 커뮤니티에서는 공격자들이 SIM 스와핑 공격으로 도시의 실제 전화번호를 탈취해 SMS로 그의 계정을 조작했다는 가설이 나왔습니다.
곧 이 가설은 공식적으로 확인되었습니다. 트위터 관계자들은 이번 공격이 이동통신사의 관리 소홀 때문이라고 밝혔습니다. 해당 통신사가 침해를 당하면서 권한 없는 사람이 도시의 번호로 SMS를 보낼 수 있게 되었다는 것입니다.
흥미롭게도 트위터는 이 ‘약점’을 오래전부터 알고 있었습니다. 2018년 말 Insinia Security의 전문가들은 SMS 메시지를 2단계 인증 수단으로 사용하는 것의 위험성을 경고했고, 트위터 기능을 SMS로 사용하는 것이 왜 문제인지도 설명했습니다. 더 나쁜 점은 이 기능의 위험성을 다룬 글이 2007년과 2009년부터 인터넷에 올라와 있다는 것입니다.
사실 트위터는 지금도 SMS 메시지로 이용할 수 있으며, 이는 서비스 초창기에 꽤 인기가 있었습니다. 주된 조건은 통신사가 이 기능을 지원해야 한다는 것입니다. 문제는 최근 몇 년간 사이버 범죄자들이 이른바 SIM 스와핑을 통해 SIM 카드를 점점 더 많이 ‘탈취’하고 있다는 점입니다.
이러한 공격의 핵심은 범죄자가 피해자의 이동통신사 직원에게 접근해 사회공학 기법을 사용한다는 것입니다. 예를 들어 공격자는 번호 소유자인 것처럼 행세하며 SIM 카드를 분실했거나 파손했다고 주장하고, 번호를 새 SIM 카드로 옮기려 합니다. 그런 다음 공격자들은 전화번호에 연결된 계정을 탈취하여 타인의 신원을 도용합니다. 이러한 공격은 대량의 암호화폐를 훔치거나 가치가 높은 인스타그램 계정을 탈취하는 데 자주 사용됩니다.
공격자가 누군가의 전화번호를 가로채면 해당 사용자는 곧바로 수많은 문제에 직면하게 되는데, 그중 하나가 트위터일 수 있습니다. 실제로 이 마이크로블로깅 네트워크에서 다른 사람의 계정을 장악하려면 해당 계정에 연결된 전화번호만 입력하면 됩니다.
참고로 잭 도시는 2016년에도 이미 해킹을 당한 적이 있습니다. 당시 해킹 그룹 OurMine이 공격의 책임을 주장했고, 해커들은 도시의 Dropbox를 해킹해 관리 패널 스크린샷을 포함한 ‘온갖 Vine 파일’을 발견했다고 설명했습니다. 관리 패널 운영자가 사람들의 개인 정보와 비밀번호를 볼 수 있다는 사실이 드러났고, 공격자들은 이를 놓치지 않고 이용했습니다.
