Pod koniec zeszłego tygodnia konto na Twitterze Jacka Dorseya, prezesa Twittera, zostało zhakowane. Po przejęciu konta napastnicy zaczęli publikować obraźliwe i rasistowskie treści w imieniu Dorseya, a nawet twierdzili, że w siedzibie firmy podłożono bombę. Odpowiedzialność za atak przypisała sobie grupa hakerska Chuckle Gang.
Według oficjalnych danych atak miał być skutkiem zaniedbania ze strony operatora telefonii komórkowej, który dopuścił do przejęcia numeru telefonu Dorseya i pozwolił nieupoważnionej osobie wysyłać z niego wiadomości SMS. Rzecz w tym, że do niedawna z Twittera można było korzystać za pośrednictwem wiadomości SMS, co było dość popularne u zarania działania serwisu. Podstawowy warunek: funkcja ta musiała być obsługiwana przez operatora telekomunikacyjnego. Limit 140 znaków pojawił się swego czasu właśnie z tego powodu: ze względu na maksymalną długość wiadomości SMS.
Twitter od dawna zna tę „słabość”. Już pod koniec 2018 roku eksperci z Insinia Security ostrzegali przed zagrożeniami związanymi z używaniem wiadomości SMS jako drugiego składnika uwierzytelniania i wyjaśniali, dlaczego korzystanie z funkcji Twittera przez SMS jest problematyczne. Co gorsza, w sieci można znaleźć artykuły o zagrożeniach związanych z tą funkcją pochodzące z 2007 i 2009 roku.
Problem polega na tym, że w ostatnich latach cyberprzestępcy coraz częściej „kradną” karty SIM użytkowników, stosując tzw. SIM swap. Istota tych ataków polega na tym, że przestępca zwraca się do przedstawicieli operatora telefonii komórkowej ofiary i wykorzystuje socjotechnikę. Na przykład, podszywając się pod właściciela numeru, napastnik twierdzi, że zgubił lub zniszczył kartę SIM, i próbuje przenieść numer na nową kartę SIM. Następnie włamywacze przejmują konta powiązane z numerem telefonu, kradnąc w ten sposób cudzą tożsamość. Takie ataki są często wykorzystywane do kradzieży dużych ilości kryptowalut lub do przejmowania cennych kont na Instagramie .
Twórcy Twittera poinformowali, że po włamaniu na konto Dorseya postanowili wyłączyć funkcję wysyłania tweetów za pomocą wiadomości SMS. Podkreślono, że wyłączenie ma charakter tymczasowy, jednak termin przywrócenia tej funkcji nie został jeszcze podany. Co ciekawe, jednocześnie twórcy w pewnym stopniu zrzucają odpowiedzialność na operatorów telefonii komórkowej, zaznaczając, że to oni muszą usunąć luki po swojej stronie.
