I slutet av förra veckan blev Jack Dorseys Twitter-konto, han som är vd för Twitter, hackat. Efter att ha tagit över kontot började angriparna publicera stötande och rasistiskt innehåll i Dorseys namn, och hävdade till och med att en bomb hade placerats vid företagets huvudkontor. Hackargruppen Chuckle Gang har tagit på sig ansvaret för attacken.
Enligt officiella uppgifter ska attacken ha berott på ett förbiseende hos mobiloperatören, som ska ha äventyrat säkerheten och låtit en obehörig person använda Dorseys telefonnummer för att skicka SMS. Faktum är att Twitter fram till helt nyligen kunde användas via SMS, något som var ganska populärt i tjänstens begynnelse. Huvudvillkoret var att funktionen stöddes av telekomoperatören. Den berömda gränsen på 140 tecken infördes just av det skälet: på grund av SMS-meddelandenas maximala längd.
Twitter har länge känt till denna “svaghet”. Redan i slutet av 2018 varnade experterna på Insinia Security för farorna med att använda SMS som andra autentiseringsfaktor och förklarade varför det var problematiskt att använda Twitters funktioner via SMS. Än värre är att det på nätet finns artiklar om farorna med den här funktionen som härstammar från 2007 och 2009.
Problemet är att cyberbrottslingar de senaste åren i allt högre grad har “stulit” användares SIM-kort genom så kallad SIM-swapping. Kärnan i dessa attacker är att brottslingen kontaktar offrets mobiloperatör och använder social manipulation. Genom att till exempel utge sig för att vara nummerinnehavaren hävdar angriparen att SIM-kortet har försvunnit eller gått sönder, och försöker få numret flyttat till ett nytt SIM-kort. Därefter tar angriparna över konton som är kopplade till telefonnumret och stjäl på så vis andra människors identitet. Dessa attacker används ofta för att stjäla stora mängder kryptovaluta eller för att komma åt värdefulla Instagram-konton .
Twitters utvecklare har meddelat att de efter intrånget på Dorseys konto har beslutat att stänga av funktionen för att skicka tweets via SMS. De betonar att avstängningen är tillfällig, men det har ännu inte meddelats när funktionen kommer att återupptas. Intressant nog lägger utvecklarna samtidigt till viss del ansvaret på mobiloperatörerna och understryker att dessa själva måste åtgärda sårbarheterna på sin sida.
