W ostatni weekend zhakowano konto na Twitterze Jacka Dorseya, założyciela i dyrektora generalnego Twittera. Po przejęciu konta napastnicy zaczęli publikować w imieniu Dorseya obraźliwe i rasistowskie treści, a nawet oświadczyli, że w siedzibie firmy podłożono bombę (takich gróźb trudno uznać za żart – zgodnie z prawem amerykańskim mogą one skutkować śledztwem federalnym).
Odpowiedzialność za atak wzięła na siebie grupa hakerska Chuckle Gang, która wcześniej włamywała się już na konta innych osobistości w mediach społecznościowych. Prawie nic nie wiadomo o składzie ani celach tej grupy. Fałszywe tweety Dorseya były widoczne w sieci przez około pół godziny, a następnie zostały usunięte.
Specjaliści ds. bezpieczeństwa i użytkownicy szybko ustalili, że źródłem nieautoryzowanych wiadomości był CloudHopper. Ta firma specjalizująca się w technologiach SMS została przejęta przez Twittera w 2010 roku. CloudHopper umożliwia między innymi wysyłanie tweetów za pomocą SMS-ów. W społeczności pojawiła się więc teoria, że napastnicy przejęli prawdziwy numer telefonu Dorseya za pomocą ataku typu SIM swap i komunikowali się z jego kontem przez SMS.
Wkrótce teoria ta została oficjalnie potwierdzona. Przedstawiciele Twittera oświadczyli, że przyczyną ataku było zaniedbanie operatora telefonii komórkowej, który dopuścił do przejęcia numeru i pozwolił nieupoważnionej osobie wykorzystać numer Dorseya do wysyłania SMS-ów.
Co ciekawe, Twitter od dawna zdaje sobie sprawę z tej „słabości”. Pod koniec 2018 roku eksperci z Insinia Security ostrzegali przed niebezpieczeństwami wynikającymi z używania wiadomości SMS jako drugiego składnika uwierzytelniania i wyjaśniali, dlaczego korzystanie z funkcji Twittera przez SMS jest problematyczne. Co gorsza, w sieci można znaleźć artykuły o zagrożeniach związanych z tą funkcją pochodzące z 2007 i 2009 roku.
Rzecz w tym, że z Twittera nadal można korzystać za pomocą wiadomości SMS, co było dość popularne u zarania działania serwisu. Podstawowy warunek: ta funkcja musi być obsługiwana przez operatora telekomunikacyjnego. Problem polega na tym, że w ostatnich latach cyberprzestępcy coraz częściej „kradną” karty SIM, stosując tzw. SIM swap.
Istota takich ataków polega na tym, że przestępca zwraca się do przedstawicieli operatora komórkowego ofiary i wykorzystuje socjotechnikę. Na przykład podając się za właściciela numeru, napastnik twierdzi, że zgubił lub zniszczył kartę SIM, i próbuje przenieść numer na nową kartę. Następnie włamuje się na konta powiązane z numerem telefonu, przejmując w ten sposób cudzą tożsamość. Takie ataki są często wykorzystywane do kradzieży dużych ilości kryptowalut lub do przejmowania cennych kont na Instagramie.
Jeśli atakujący przejmie czyjś numer telefonu, użytkownik od razu napotyka wiele problemów, a jednym z nich może być Twitter. Aby bowiem przejąć kontrolę nad cudzym kontem w serwisie mikroblogowym, wystarczy podać numer telefonu powiązany z tym kontem.
Przypomnę, że Jack Dorsey został zhakowany już w 2016 roku. Wówczas odpowiedzialność za atak wzięła na siebie grupa hakerska OurMine, a włamywacze wyjaśnili, że przejęli konto Dorseya w Dropboksie, gdzie znaleźli „różne pliki Vine”, w tym zrzuty ekranu panelu sterowania. Okazało się, że operator panelu sterowania może zobaczyć dane osobowe użytkowników i ich hasła, czego napastnicy nie omieszkali wykorzystać.
