På slutten av forrige uke ble Twitter-kontoen til Jack Dorsey, toppsjef i Twitter, hacket. Etter å ha tatt kontroll over kontoen begynte angriperne å publisere støtende og rasistisk innhold i Dorseys navn, og hevdet til og med at det var plassert en bombe ved selskapets hovedkontor. Hackergruppen Chuckle Gang har tatt på seg ansvaret for angrepet.
Ifølge offisielle tall skyldes angrepet en forglemmelse hos mobiloperatøren, som angivelig kompromitterte og tillot en uautorisert person å bruke Dorseys telefonnummer til å sende SMS. Faktum er at Twitter frem til nylig kunne brukes via SMS-meldinger, noe som var ganske populært i startfasen av tjenesten. Hovedbetingelsen: at funksjonen støttes av teleoperatøren. Det var en gang en grense på 140 tegn som oppstod nettopp av denne grunnen: på grunn av den maksimale lengden på SMS-meldinger.
Denne «svakheten» har Twitter lenge vært kjent med. Allerede på slutten av 2018 advarte eksperter fra Insinia Security mot faren ved å bruke SMS-meldinger som andre autentiseringsfaktor, og forklarte hvorfor det var vanskelig å bruke Twitters funksjoner via SMS. Enda verre: det finnes artikler om farene ved denne funksjonen fra 2007 og 2009 på nettet.
Problemet er at cyberkriminelle de siste årene i økende grad har «stjålet» brukeres SIM-kort ved å ta i bruk det såkalte SIM-swap. Essensen i disse angrepene er at kriminelle henvender seg til offerets mobiloperatørs representanter og bruker sosial manipulering. For eksempel påstår angriperen, ved å utgi seg for å være nummerets eier, at SIM-kortet er tapt eller ødelagt, og forsøker å overføre nummeret til det nye SIM-kortet. Deretter stjeler angriperne kontoer knyttet til telefonnummeret og overtar dermed andres identitet. Slike angrep brukes ofte til å stjele store mengder kryptovaluta eller til å kompromittere verdifulle Instagram-kontoer .
Twitter-utviklerne har kunngjort at de etter kapringen av Dorseys konto har besluttet å deaktivere funksjonen for å sende tweets via SMS. Det understrekes at stansen er midlertidig, men tidspunktet for når funksjonen gjenopprettes er foreløpig ikke oppgitt. Interessant nok legger utviklerne i en viss grad ansvaret over på mobiloperatørene og understreker at de må rette sårbarhetene på sin side.
