No último fim de semana, a conta de Twitter de Jack Dorsey, fundador e CEO do Twitter, foi pirateada. Depois de comprometerem a conta, os atacantes começaram a publicar conteúdos ofensivos e racistas em nome de Dorsey e chegaram mesmo a afirmar que tinha sido colocada uma bomba na sede da empresa (ameaças deste tipo dificilmente podem ser consideradas brincadeiras e podem dar origem a uma investigação federal, nos termos da legislação norte-americana).
A responsabilidade do ataque foi assumida pelo grupo de hackers Chuckle Gang, que já tinha pirateado outras personalidades nas redes sociais. Quase nada se sabe sobre a composição e os objetivos deste grupo. Os tweets falsos de Dorsey permaneceram online cerca de meia hora, tendo depois sido eliminados.
Profissionais de segurança e utilizadores constataram rapidamente que a origem das mensagens não autorizadas era o CloudHopper. Esta empresa, especializada em tecnologias de SMS, foi adquirida pelo Twitter em 2010. O CloudHopper permite, nomeadamente, aos utilizadores enviar tweets por SMS. Surgiu, por isso, na comunidade a teoria de que os atacantes tinham obtido o verdadeiro número de telefone de Dorsey através de um ataque de troca de cartão SIM (SIM swap) e tinham interagido com a conta dele por SMS.
Cette théorie a rapidement reçu une confirmation officielle. Des responsables de Twitter ont déclaré que l’attaque était due à la compromission d’un opérateur de téléphonie mobile, qui a permis à une personne non autorisée d’utiliser le numéro de Dorsey pour envoyer des SMS.
Curiosamente, o Twitter conhece esta «fragilidade» há muito tempo. Assim, no final de 2018, os especialistas da Insinia Security alertaram para os perigos de utilizar mensagens SMS como segundo fator de autenticação e explicaram por que motivo era difícil utilizar as funcionalidades do Twitter por SMS. Pior ainda, existem artigos na internet sobre os perigos desta funcionalidade que datam de 2007 e 2009.
O facto é que o Twitter ainda pode ser utilizado através de mensagens SMS, o que era bastante popular nos primórdios do serviço. A condição principal é que esta funcionalidade seja suportada pela operadora de telecomunicações. O problema é que, nos últimos anos, os cibercriminosos têm «roubado» cada vez mais cartões SIM através do chamado SIM swap.
A essência destes ataques é que o criminoso contacta os representantes da operadora móvel da vítima e recorre à engenharia social. Por exemplo, fazendo-se passar pelo titular do número, o atacante afirma ter perdido ou estragado o cartão SIM e tenta transferir o número para um novo cartão SIM. Em seguida, os atacantes roubam as contas associadas ao número de telefone, usurpando assim a identidade de outras pessoas. Estes ataques são frequentemente utilizados para roubar grandes quantidades de criptomoedas ou para comprometer contas de Instagram valiosas.
Se um atacante se apoderar do número de telefone de uma pessoa, o utilizador enfrenta de imediato inúmeros problemas, um dos quais pode ser o Twitter. De facto, para assumir o controlo da conta de outra pessoa na rede de microblogging, basta introduzir o número de telefone associado a essa conta.
Permettez-moi de vous rappeler que Jack Dorsey avait déjà été piraté en 2016. À l’époque, le groupe de hackers OurMine avait revendiqué l’attaque et expliqué qu’il avait compromis le Dropbox de Dorsey, où ils avaient trouvé « toutes sortes de fichiers Vine », y compris des captures d’écran du panneau de configuration. Il s’est avéré que l’opérateur du panneau de contrôle pouvait voir les informations personnelles des utilisateurs et leurs mots de passe, dont les assaillants n’ont pas manqué de tirer parti.
