Afgelopen weekend is het Twitter-account van Jack Dorsey, oprichter en CEO van Twitter, gehackt. Nadat ze het account hadden overgenomen, begonnen de aanvallers beledigende en racistische content te plaatsen namens Dorsey en beweerden ze zelfs dat er een bom was geplaatst op het hoofdkantoor van het bedrijf (dergelijke dreigementen zijn bezwaarlijk als grap te bestempelen en kunnen volgens de Amerikaanse wetgeving leiden tot een federaal onderzoek).
De verantwoordelijkheid voor deze aanval werd opgeëist door de hackersgroep Chuckle Gang, die eerder al andere bekende personen op sociale media had gehackt. Over de samenstelling en de doelen van deze groep is vrijwel niets bekend. De nepberichten van Dorsey stonden ongeveer een half uur online en werden daarna verwijderd.
Beveiligingsprofessionals en gebruikers stelden snel vast dat CloudHopper de bron was van de ongeautoriseerde berichten. Dit bedrijf, gespecialiseerd in sms-technologie, werd in 2010 door Twitter overgenomen. Met CloudHopper kunnen gebruikers onder meer tweets per sms versturen. In de community ontstond dan ook de theorie dat de aanvallers het echte telefoonnummer van Dorsey hadden weten te bemachtigen via een SIM-swapaanval en via sms met zijn account hadden gecommuniceerd.
Al snel kreeg deze theorie officiële bevestiging. Functionarissen van Twitter verklaarden dat de aanval te wijten was aan een nalatigheid van een mobiele provider, waardoor een onbevoegde persoon het nummer van Dorsey kon gebruiken om sms-berichten te versturen.
Opmerkelijk genoeg is Twitter zich al lang bewust van deze «zwakke plek». Eind 2018 waarschuwden experts van Insinia Security al voor de gevaren van het gebruik van sms-berichten als tweede authenticatiefactor en legden ze uit waarom het problematisch was om Twitter-functies via sms te gebruiken. Erger nog: er staan op internet artikelen over de gevaren van deze functie die dateren uit 2007 en 2009.
Het feit is dat Twitter nog steeds kan worden gebruikt via sms-berichten, wat in de beginjaren van de dienst vrij populair was. De belangrijkste voorwaarde: de telecomprovider moet deze functie ondersteunen. Het probleem is dat cybercriminelen de laatste jaren steeds vaker SIM-kaarten «stelen» door middel van zogenaamde SIM-swapping.
De kern van deze aanvallen is dat de crimineel contact opneemt met medewerkers van de mobiele provider van het slachtoffer en gebruikmaakt van social engineering. Zo geeft de aanvaller zich bijvoorbeeld uit voor de eigenaar van het nummer, beweert hij de SIM-kaart te zijn kwijtgeraakt of te hebben beschadigd en probeert hij het nummer over te zetten naar een nieuwe SIM-kaart. Vervolgens nemen de aanvallers accounts over die aan het telefoonnummer zijn gekoppeld en stelen zo de identiteit van anderen. Deze aanvallen worden vaak gebruikt om grote hoeveelheden cryptovaluta te stelen of om waardevolle Instagram-accounts te compromitteren.
Si un attaquant prend le numéro de téléphone d’une personne, l’utilisateur rencontre immédiatement de nombreux problèmes, dont l’un peut être Twitter. En effet, pour prendre le contrôle du compte d’une autre personne sur le réseau de micro-blogging, il suffit de saisir le numéro de téléphone associé à ce compte.
Ter herinnering: Jack Dorsey was in 2016 al eens gehackt. Toen nam de hackersgroep OurMine de verantwoordelijkheid voor de aanval op zich en legden de hackers uit dat ze de Dropbox van Dorsey hadden gecompromitteerd, waar ze «allerlei Vine-bestanden» vonden, waaronder screenshots van het configuratiescherm. Het bleek dat de beheerder van het controlepaneel persoonlijke gegevens van mensen en hun wachtwoorden kan inzien, iets waar de aanvallers maar al te graag gebruik van maakten.
