Geçen hafta sonu, Twitter’ın kurucusu ve CEO’su Jack Dorsey’nin Twitter hesabı ele geçirildi. Saldırganlar hesabı ele geçirdikten sonra Dorsey adına saldırgan ve ırkçı içerikler paylaşmaya başladı, hatta şirketin merkezine bomba yerleştirildiğini bile öne sürdü (bu tür tehditler pek şaka sayılamaz; Amerikan yasalarına göre federal bir soruşturmaya yol açabilir).
Saldırının sorumluluğunu, daha önce sosyal medyada başka ünlü isimlerin hesaplarını da ele geçirmiş olan Chuckle Gang adlı hack grubu üstlendi. Bu grubun yapısı ve hedefleri hakkında neredeyse hiçbir şey bilinmiyor. Dorsey’nin sahte tweet’leri yaklaşık yarım saat yayında kaldı, ardından silindi.
Güvenlik uzmanları ve kullanıcılar, yetkisiz mesajların kaynağının CloudHopper olduğunu çabucak fark etti. SMS teknolojilerinde uzmanlaşan bu şirket, 2010 yılında Twitter tarafından satın alınmıştı. CloudHopper, kullanıcıların SMS ile tweet göndermesine olanak tanıyor. Bu nedenle topluluk içinde, saldırganların bir SIM kart takas saldırısıyla Dorsey’nin gerçek telefon numarasını ele geçirdiği ve hesabıyla SMS üzerinden etkileşime girdiği yönünde bir teori ortaya çıktı.
Kısa süre sonra bu teori resmî olarak doğrulandı. Twitter yetkilileri, saldırının bir mobil operatörün gözetim hatasından kaynaklandığını, bunun da yetkisiz bir kişinin Dorsey’nin numarasını SMS göndermek için kullanmasına imkân verdiğini açıkladı.
İlginç olan, Twitter’ın bu «zayıflığın» uzun zamandır farkında olması. Nitekim 2018’in sonlarında Insinia Security uzmanları, SMS mesajlarının ikinci kimlik doğrulama faktörü olarak kullanılmasının tehlikelerine karşı uyarmış ve Twitter’ın işlevlerini SMS üzerinden kullanmanın neden sorunlu olduğunu açıklamıştı. Daha da kötüsü, internette bu özelliğin tehlikelerine dair 2007 ve 2009 yıllarına ait makaleler bulunuyor.
Mesele şu ki Twitter hâlâ SMS mesajlarıyla kullanılabiliyor; hizmetin ilk çıktığı dönemde bu oldukça yaygındı. Temel koşul, bu özelliğin telekom operatörü tarafından desteklenmesi. Sorun şu ki son yıllarda siber suçlular, SIM takası denen yöntemle giderek daha fazla SIM kartı «çalıyor».
Bu saldırıların özü, suçlunun kurbanın mobil operatörünün temsilcilerine başvurup sosyal mühendislik kullanmasıdır. Örneğin saldırgan, numaranın sahibi gibi davranarak SIM kartını kaybettiğini ya da bozduğunu söyler ve numarayı yeni bir SIM karta aktarmaya çalışır. Ardından saldırganlar telefon numarasına bağlı hesapları ele geçirir ve böylece başkalarının kimliğini çalmış olur. Bu saldırılar çoğunlukla büyük miktarlarda kripto para çalmak ya da değerli Instagram hesaplarını ele geçirmek için kullanılır.
Si un attaquant prend le numéro de téléphone d’une personne, l’utilisateur rencontre immédiatement de nombreux problèmes, dont l’un peut être Twitter. En effet, pour prendre le contrôle du compte d’une autre personne sur le réseau de micro-blogging, il suffit de saisir le numéro de téléphone associé à ce compte.
Hatırlatmak gerekirse, Jack Dorsey daha önce 2016’da da hacklenmişti. O dönem saldırının sorumluluğunu OurMine adlı hack grubu üstlenmiş, bilgisayar korsanları Dorsey’nin Dropbox hesabını ele geçirdiklerini ve orada kontrol panelinin ekran görüntüleri dâhil «her türlü Vine dosyasını» bulduklarını açıklamıştı. Kontrol paneli operatörünün insanların kişisel bilgilerini ve parolalarını görebildiği ortaya çıktı; saldırganlar da bundan yararlanmayı ihmal etmedi.
