В конце прошлой недели учётная запись Твиттера Джека Дорси, генерального директора Twitter, была взломана. Скомпрометировав аккаунт, злоумышленники начали публиковать оскорбительный и расистский контент от имени Дорси и даже заявили, что в штаб-квартире компании заложена бомба. Ответственность за атаку взяла на себя хакерская группа Chuckle Gang.
По официальным данным, атака стала результатом халатности оператора мобильной связи, который, по всей видимости, допустил компрометацию и позволил постороннему лицу использовать номер телефона Дорси для отправки SMS. Дело в том, что до недавнего времени через SMS-сообщения можно было пользоваться Твиттером, что было довольно популярно на заре появления сервиса. Главное условие: поддержка этой функции со стороны оператора связи. Когда-то ограничение в 140 символов появилось именно по этой причине: из-за максимальной длины SMS-сообщений.
О этой «слабости» Твиттеру известно давно. Так, в конце 2018 года эксперты Insinia Security предостерегали от опасностей использования SMS-сообщений в качестве второго фактора аутентификации и объясняли, почему использование функций Твиттера через SMS затруднительно. Более того, в сети есть статьи об опасностях этой функции, датированные 2007 и 2009 годами.
Проблема в том, что в последние годы киберпреступники всё чаще «крадут» SIM-карты пользователей, применяя так называемый SIM-своп. Суть таких атак в том, что преступник обращается к представителям мобильного оператора жертвы и использует социальную инженерию. Например, выдавая себя за владельца номера, злоумышленник заявляет, что потерял или сломал SIM-карту, и пытается перенести номер на новую SIM-карту. Затем злоумышленники получают доступ к аккаунтам, привязанным к номеру телефона, таким образом присваивая себе чужие личности. Такие атаки часто используются для кражи крупных сумм в криптовалюте или для взлома дорогих аккаунтов в Instagram .
Разработчики Твиттера сообщили, что после взлома Дорси они решили отключить возможность отправки твитов через SMS-сообщения. Подчёркивается, что отключение временное, однако сроки возобновления этой функции пока не называются. Примечательно, что при этом разработчики в какой-то мере возлагают ответственность на операторов мобильной связи, подчёркивая, что им необходимо устранить уязвимости на своей стороне.
