На прошлых выходных аккаунт Джека Дорси, основателя и генерального директора Twitter, был взломан. После захвата аккаунта злоумышленники начали публиковать оскорбительный и расистский контент от имени Дорси и даже заявили, что в штаб-квартире компании заложена бомба (такие угрозы трудно назвать шуткой — они могут повлечь федеральное расследование в соответствии с законодательством США).
Ответственность за эту атаку взяла на себя хакерская группа Chuckle Gang, которая ранее взламывала и других публичных личностей в социальных сетях. О составе и целях этой группы почти ничего не известно. Поддельные твиты Дорси оставались в сети около получаса, после чего были удалены.
Специалисты по безопасности и пользователи быстро выяснили, что источником несанкционированных сообщений был CloudHopper. Эта компания, специализирующаяся на SMS-технологиях Twitter, была приобретена в 2010 году. CloudHopper, в частности, позволяет пользователям отправлять твиты по SMS. В сообществе возникла версия, что злоумышленники перехватили реальный номер телефона Дорси с помощью атаки подмены SIM-карты и взаимодействовали с его аккаунтом по SMS.
Вскоре эта версия получила официальное подтверждение. Представители Twitter заявили, что атака стала возможной из-за компрометации мобильного оператора, который позволил постороннему лицу использовать номер Дорси для отправки SMS.
Примечательно, что Twitter давно знает об этой «слабости». Так, в конце 2018 года эксперты Insinia Security предупреждали об опасности использования SMS-сообщений в качестве второго фактора аутентификации и объясняли, почему работать с функциями Twitter через SMS небезопасно. More того, в сети есть статьи об опасностях этой функции, датированные 2007 и 2009 годов.
Дело в том, что Twitter по-прежнему можно использовать через SMS-сообщения, что было довольно популярно на заре появления сервиса. Главное условие: эта функция должна поддерживаться телекоммуникационным оператором. Проблема в том, что в последние годы киберпреступники всё чаще «крадут» SIM-карты, применяя так называемый SIM-своп.
Суть таких атак в том, что преступник обращается к представителям мобильного оператора жертвы и использует социальную инженерию. Например, выдавая себя за владельца номера, злоумышленник сообщает, что утерял или сломал SIM-карту, и пытается перевести номер на новую SIM-карту. После этого злоумышленники получают доступ к учётным записям, привязанным к номеру телефона, и таким образом присваивают себе чужую личность. Такие атаки часто используются для кражи крупных сумм в криптовалюте или для взлома дорогостоящих аккаунтов в Instagram.
Если злоумышленник получает номер телефона человека, пользователь сразу сталкивается со множеством проблем, одной из которых может стать Twitter. Ведь чтобы получить контроль над чужим аккаунтом в этой микроблоговой сети, достаточно ввести номер телефона, привязанный к этому аккаунту.
Напомню, что Джек Дорси уже подвергался взлому в 2016 году. Тогда ответственность за атаку взяла на себя хакерская группа OurMine, а взломщики заявили, что скомпрометировали Dropbox Дорси, где нашли «всевозможные файлы Vine», в том числе скриншоты панели управления. Выяснилось, что оператор панели управления может видеть личные данные людей и их пароли, которыми злоумышленники не преминули воспользоваться.
