À la fin de la semaine dernière, le compte Twitter de Jack Dorsey, PDG de Twitter, a été piraté. Ayant compromis le compte, les assaillants ont commencé à publier un contenu offensant et raciste au nom de Dorsey, et ont même affirmé qu’une bombe avait été placée au siège de la société. Le groupe de piratas informáticos Chuckle Gang reivindicou a responsabilidade por este ataque.
Segundo dados oficiais, o ataque terá sido devido a uma falha por parte do operador de telecomunicações móveis, que terá comprometido e autorizado uma pessoa não autorizada a utilizar o número de telefone de Dorsey para enviar SMS. O facto é que, até há pouco tempo, o Twitter podia ser utilizado através de mensagens SMS, o que era bastante popular no início do aparecimento do serviço. A condição principal: que esta funcionalidade fosse suportada pelo operador de telecomunicações. Outrora existiu um limite de 140 caracteres que surgiu precisamente por esta razão: devido ao comprimento máximo das mensagens SMS.
Sobre esta “fraqueza”, o Twitter é conhecido há muito tempo. Assim, no final de 2018, os especialistas da Insinia Security alertaram para os perigos da utilização de mensagens SMS como segundo fator de autenticação e explicaram por que era difícil utilizar as funcionalidades do Twitter via SMS. Pior ainda, existem na internet artigos sobre os perigos desta funcionalidade datados de 2007 e 2009.
O problema é que, nos últimos anos, os cibercriminosos têm «roubado» cada vez mais cartões SIM de utilizadores através da implementação do chamado swap SIM. A essência destes ataques é que o criminoso se dirige aos representantes do operador móvel da vítima e recorre à engenharia social. Por exemplo, fazendo-se passar pelo proprietário do número, o atacante afirma ter perdido ou partido o cartão SIM e tenta transferir o número para o novo cartão SIM. Em seguida, os atacantes roubam contas associadas ao número de telefone, apropriando-se assim da identidade de outras pessoas. Estes ataques são frequentemente utilizados para roubar grandes quantidades de criptomoeda ou para comprometer contas valiosas do Instagram .
Os programadores do Twitter anunciaram que, após o ataque à conta de Dorsey, decidiram desativar a funcionalidade de envio de tweets através de mensagens SMS. Sublinha-se que a paragem é temporária, no entanto, ainda não foi anunciada a data de reativação desta função. É interessante notar que, ao mesmo tempo, os programadores atribuem, em certa medida, a responsabilidade aos operadores de telecomunicações móveis, salientando que estes devem corrigir as vulnerabilidades do seu lado.
