Geçen haftanın sonunda, Twitter CEO’su Jack Dorsey’nin Twitter hesabı ele geçirildi. Hesabı ele geçiren saldırganlar, Dorsey adına saldırgan ve ırkçı içerikler paylaşmaya başladı ve hatta şirketin merkezine bir bomba yerleştirildiğini öne sürdü. Saldırının sorumluluğunu Chuckle Gang adlı hacker grubu üstlendi.
Resmî verilere göre saldırı, mobil operatörün bir ihmalinden kaynaklanmış olabilir; operatör, yetkisiz bir kişinin Dorsey’nin telefon numarasını SMS göndermek için kullanmasına izin vermiş ve güvenliği zafiyete uğratmış olabilir. Gerçek şu ki, yakın zamana kadar Twitter SMS mesajlarıyla kullanılabiliyordu ve bu, hizmetin ilk ortaya çıktığı dönemde oldukça popülerdi. Temel şart, bu özelliğin telekom operatörü tarafından desteklenmesiydi. Bir zamanlar 140 karakterlik sınır da tam olarak bu nedenle, yani SMS mesajlarının azami uzunluğu yüzünden ortaya çıkmıştı.
Twitter bu “zayıflığı” uzun zamandır biliyor. Nitekim 2018’in sonlarında Insinia Security uzmanları, SMS mesajlarının ikinci kimlik doğrulama faktörü olarak kullanılmasının tehlikeleri konusunda uyarmış ve Twitter’ın işlevlerini SMS üzerinden kullanmanın neden sorunlu olduğunu açıklamıştı. Daha da kötüsü, internette bu özelliğin tehlikelerini anlatan, 2007 ve 2009 tarihli makaleler de bulunuyor.
Sorun şu ki, son yıllarda siber suçlular, SIM swap adı verilen yöntemi uygulayarak kullanıcıların SIM kartlarını giderek daha fazla “çalıyor”. Bu saldırıların özü, suçlunun kurbanın mobil operatörünün temsilcilerine başvurması ve sosyal mühendislik kullanmasıdır. Örneğin saldırgan, numara sahibi gibi davranarak SIM kartını kaybettiğini veya kırdığını iddia eder ve numarayı yeni bir SIM karta aktarmaya çalışır. Ardından saldırganlar telefon numarasına bağlı hesapları ele geçirir ve böylece başkalarının kimliğini çalar. Bu saldırılar çoğunlukla büyük miktarlarda kripto para çalmak ya da değerli Instagram hesaplarını ele geçirmek için kullanılıyor.
Twitter geliştiricileri, Dorsey’nin hesabının ele geçirilmesinin ardından SMS mesajlarıyla tweet gönderme özelliğini devre dışı bırakmaya karar verdiklerini duyurdu. Bu durdurmanın geçici olduğu vurgulanıyor, ancak özelliğin ne zaman yeniden kullanıma sunulacağı henüz açıklanmadı. İlginç olan, geliştiricilerin aynı zamanda sorumluluğun bir kısmını mobil operatörlere yüklemesi ve operatörlerin kendi taraflarındaki güvenlik açıklarını gidermesi gerektiğini belirtmesi.
