Eind vorige week is het Twitter-account van Jack Dorsey, de CEO van Twitter, gehackt. Nadat ze het account hadden overgenomen, begonnen de aanvallers namens Dorsey beledigende en racistische content te plaatsen en beweerden ze zelfs dat er een bom was geplaatst op het hoofdkantoor van het bedrijf. De hackersgroep Chuckle Gang heeft de verantwoordelijkheid voor de aanval opgeëist.
Volgens officiële gegevens zou de aanval te wijten zijn aan een nalatigheid van de mobiele operator, waardoor een onbevoegde persoon het telefoonnummer van Dorsey kon gebruiken om sms’jes te versturen. Het feit is dat Twitter tot voor kort via sms-berichten kon worden gebruikt, wat in de beginperiode van de dienst vrij populair was. De belangrijkste voorwaarde: de operator moest deze functionaliteit ondersteunen. De limiet van 140 tekens is er destijds juist om die reden gekomen: vanwege de maximale lengte van sms-berichten.
Twitter kent deze ‘zwakke plek’ al lang. Zo waarschuwden de experts van Insinia Security eind 2018 al voor de gevaren van het gebruik van sms-berichten als tweede authenticatiefactor en legden ze uit waarom het lastig was om de functies van Twitter via sms te gebruiken. Erger nog: er zijn op internet artikelen over de gevaren van deze functionaliteit te vinden uit 2007 en 2009.
Het probleem is dat cybercriminelen de afgelopen jaren steeds vaker gebruikers-simkaarten hebben “gestolen” door zogenaamde SIM-swap toe te passen. Het wezenlijke van deze aanvallen is dat de crimineel zich richt tot de vertegenwoordigers van de mobiele operator van het slachtoffer en social engineering gebruikt. Zo doet de aanvaller zich bijvoorbeeld voor als de eigenaar van het nummer, beweert hij de simkaart te hebben verloren of kapotgemaakt en probeert hij het nummer naar de nieuwe simkaart over te zetten. Vervolgens stelen de aanvallers accounts die aan het telefoonnummer zijn gekoppeld, en eigenen ze zich zo de identiteit van anderen toe. Deze aanvallen worden vaak gebruikt om grote hoeveelheden cryptovaluta te stelen of om dure Instagram-accounts .
De ontwikkelaars van Twitter hebben aangekondigd dat ze, na de hack van Dorsey, hebben besloten de functie om tweets te versturen via sms-berichten uit te schakelen. Er wordt benadrukt dat de stopzetting tijdelijk is, maar het moment waarop deze functie weer wordt hersteld, is nog niet bekendgemaakt. Opmerkelijk genoeg schuiven de ontwikkelaars tegelijkertijd tot op zekere hoogte de verantwoordelijkheid af op de mobiele operators, en benadrukken ze dat die hun kwetsbaarheden aan hun kant moeten verhelpen.
