Le week-end dernier, le compte Twitter de Jack Dorsey, fondateur et PDG de Twitter, a été piratert. Etter å ha kompromittert kontoen, begynte angriperne å publisere støtende og rasistisk innhold på vegne av Dorsey, og hevdet til og med at en bombe var plassert i selskapets hovedkvarter (slike trusler kan vanskelig betraktes som spøk, de kan føre til en føderal etterforskning i henhold til amerikansk lovgivning).
Ansvaret for angrepet ble påtatt av hackergruppen Chuckle Gang, som allerede hadde hacket andre profiler på sosiale medier. Nesten ingenting er kjent om sammensetningen og målene til denne gruppen. Dorseys falske tweets var tilgjengelige på nettet i omtrent en halvtime, før de ble slettet.
Sikkerhetseksperter og brukere oppdaget raskt at CloudHopper var kilden til de uautoriserte meldingene. Dette selskapet, som spesialiserte seg på SMS-teknologi for Twitter, ble kjøpt opp i 2010. CloudHopper gjorde det blant annet mulig for brukere å sende tweets via SMS. Det oppstod derfor en teori i miljøet om at angriperne hadde fanget Dorseys faktiske telefonnummer ved hjelp av et SIM-kortbytteangrep og samhandlet med kontoen hans via SMS.
Snart fikk denne teorien en offisiell bekreftelse. Ansatte hos Twitter uttalte at angrepet skyldtes at en mobiloperatør var kompromittert, og at dette ga en uautorisert person mulighet til å bruke Dorseys nummer til å sende SMS.
Interessant nok har Twitter vært klar over denne «svakheten» lenge. Allerede på slutten av 2018 advarte eksperter fra Insinia Security mot farene ved å bruke SMS-meldinger som andre autentiseringsfaktor, og forklarte hvorfor det var vanskelig å bruke Twitters funksjoner via SMS. Verre er det at det finnes artikler om farene ved denne funksjonen fra 2007 og 2009 på nettet.
Faktum er at Twitter fortsatt kan brukes via SMS-meldinger, noe som var ganske populært i tjenestens tidlige dager. Hovedbetingelsen er at funksjonen støttes av teleoperatøren. Problemet er at cyberkriminelle de siste årene i stadig større grad har «stjålet» SIM-kort ved å gjennomføre det som kalles SIM-kortbytte (SIM swap).
Kjernen i disse angrepene er at kriminelle henvender seg til representanter for offerets mobiloperatør og bruker sosial manipulasjon. For eksempel utgir angriperen seg for å være eieren av nummeret og hevder at SIM-kortet er tapt eller ødelagt, og forsøker deretter å overføre nummeret til et nytt SIM-kort. Deretter kaprer angriperne kontoer knyttet til telefonnummeret og tar dermed over andres identitet. Disse angrepene brukes ofte til å stjele store summer kryptovaluta eller til å kompromittere dyre Instagram-kontoer.
Hvis en angriper får tak i en persons telefonnummer, får brukeren umiddelbart mange problemer, og et av dem kan være Twitter. For å ta kontroll over en annen persons konto i mikrobloggtjenesten er det nemlig nok å skrive inn telefonnummeret som er knyttet til kontoen.
La meg minne om at Jack Dorsey allerede ble hacket i 2016. Da tok hackergruppen OurMine på seg ansvaret for angrepet, og piratene forklarte at de hadde kompromittert Dorseys Dropbox, der de fant «alle slags Vine-filer», inkludert skjermbilder av kontrollpanelet. Det viste seg at operatøren av kontrollpanelet kan se personlig informasjon om folk og passordene deres, noe angriperne ikke lot ligge urørt.
