Förra helgen blev Twitterkontot som tillhör Jack Dorsey, Twitters grundare och vd, hackat. Efter att ha tagit över kontot började angriparna publicera stötande och rasistiskt innehåll i Dorseys namn, och hävdade till och med att en bomb hade placerats vid företagets huvudkontor (sådana hot kan knappast kallas practical jokes – enligt amerikansk lag kan de leda till en federal utredning).
Ansvaret för attacken togs av hackargruppen Chuckle Gang, som tidigare hade hackat andra profiler på sociala medier. Nästan ingenting är känt om gruppens sammansättning och mål. Dorseys falska tweets låg ute i ungefär en halvtimme innan de togs bort.
Säkerhetsexperter och användare konstaterade snabbt att CloudHopper var källan till de obehöriga meddelandena. Det är ett företag specialiserat på SMS-teknik som Twitter köpte 2010. CloudHopper gör det bland annat möjligt för användare att skicka tweets via SMS. Inom communityn uppstod därför en teori om att angriparna hade tagit över Dorseys riktiga telefonnummer genom en SIM-swap-attack och styrt hans konto via SMS.
Snart fick teorin ett officiellt bekräftande. Företrädare för Twitter uppgav att attacken berodde på ett förbiseende hos en mobiloperatör, som hade äventyrat säkerheten och låtit en obehörig person använda Dorseys nummer för att skicka SMS.
Intressant nog har Twitter länge känt till denna ”svaghet”. I slutet av 2018 varnade till exempel experter från Insinia Security för farorna med att använda SMS som andra autentiseringsfaktor och förklarade varför det var problematiskt att använda Twitters funktioner via SMS. Än värre är att det finns artiklar på nätet om farorna med den här funktionen som går tillbaka till 2007 och 2009.
Saken är den att Twitter fortfarande kan användas via SMS, något som var ganska populärt när tjänsten just hade lanserats. Huvudvillkoret är att funktionen stöds av teleoperatören. Problemet är att nätbrottslingar under de senaste åren allt oftare har ”stulit” SIM-kort genom så kallad SIM-swap.
Kärnan i dessa attacker är att brottslingen kontaktar offrets mobiloperatör och använder social manipulation. Genom att till exempel utge sig för att vara numrets ägare påstår angriparen att SIM-kortet har tappats bort eller gått sönder och försöker flytta numret till ett nytt SIM-kort. Därefter tar angriparna över konton som är kopplade till telefonnumret och stjäl på så sätt andra människors identiteter. Sådana attacker används ofta för att stjäla stora mängder kryptovaluta eller för att kapa värdefulla Instagramkonton.
Si un attaquant prend le numéro de téléphone d’une personne, l’utilisateur rencontre immédiatement de nombreux problèmes, dont l’un peut être Twitter. En effet, pour prendre le contrôle du compte d’une autre personne sur le réseau de micro-blogging, il suffit de saisir le numéro de téléphone associé à ce compte.
Låt mig påminna om att Jack Dorsey redan hade blivit hackad 2016. Då tog hackargruppen OurMine på sig ansvaret för attacken, och hackarna förklarade att de hade tagit sig in i Dorseys Dropbox, där de hittade ”alla möjliga Vine-filer”, bland annat skärmdumpar av kontrollpanelen. Det visade sig att den som styr kontrollpanelen kan se personuppgifter om människor och deras lösenord, något som angriparna inte missade att dra nytta av.
