На минулих вихідних обліковий запис Джека Дорсі, засновника та генерального директора Twitter, було зламано. Після злому облікового запису зловмисники почали публікувати образливий і расистський контент від імені Дорсі, а також заявили, що в штаб-квартирі компанії встановлено бомбу (такі погрози важко назвати жартами, вони можуть призвести до федерального розслідування відповідно до законодавства США).
Відповідальність за атаку взяла на себе хакерська група Chuckle Gang, яка вже зламувала облікові записи інших публічних осіб у соціальних мережах. Майже нічого не відомо про склад і цілі цієї групи. Фальшиві твіти Дорсі були доступні в мережі близько півгодини, після чого їх видалили.
Фахівці з безпеки та користувачі швидко з’ясували, що джерелом несанкціонованих повідомлень був CloudHopper. Ця компанія, що спеціалізується на SMS-технологіях для Twitter, була придбана у 2010 році. Зокрема, CloudHopper дозволяє користувачам надсилати твіти через SMS. Тому в спільноті виникла думка, що зловмисники отримали справжній номер телефону Дорсі за допомогою атаки підміни SIM-карти та взаємодіяли з його обліковим записом через SMS.
Незабаром ця теорія отримала офіційне підтвердження. Представники Twitter заявили, що атака стала можливою через компрометацію мобільного оператора, який дозволив сторонній особі використовувати номер Дорсі для надсилання SMS.
Цікаво, що Twitter давно знає про цю «слабкість». Так, наприкінці 2018 року фахівці Insinia Security попереджали про небезпеку використання SMS-повідомлень як другого фактора автентифікації та пояснювали, чому складно користуватися функціями Twitter через SMS. Гірше того, в інтернеті є статті про небезпеку цієї функції, що датуються 2007 і 2009 років.
Справа в тому, що Twitter досі можна використовувати через SMS-повідомлення, що було досить популярним на початку появи сервісу. Основна умова: ця функція має підтримуватися телекомунікаційним оператором. Проблема в тому, що останніми роками кіберзлочинці дедалі частіше «крадуть» SIM-карти, використовуючи так званий SIM swap.
Суть таких атак полягає в тому, що зловмисник звертається до представників мобільного оператора жертви та використовує соціальну інженерію. Наприклад, видаючи себе за власника номера, нападник стверджує, що втратив або зламав SIM-карту, і намагається перенести номер на нову SIM-карту. Далі зловмисники викрадають облікові записи, пов’язані з номером телефону, таким чином привласнюючи чужі особистості. Такі атаки часто використовують для крадіжки великих сум криптовалюти або для компрометації дорогих облікових записів в Instagram.
Якщо зловмисник отримує номер телефону людини, користувач одразу стикається з багатьма проблемами, однією з яких може бути Twitter. Справді, щоб перехопити контроль над чужим обліковим записом у мережі мікроблогів, достатньо ввести номер телефону, пов’язаний із цим обліковим записом.
Нагадаю, що Джек Дорсі вже зазнавав злому у 2016 році. Тоді відповідальність за атаку взяла на себе хакерська група OurMine, а зловмисники пояснили, що зламали Dropbox Дорсі, де знайшли «всілякі файли Vine», включно зі знімками екрана панелі керування. Виявилося, що оператор панелі керування може бачити особисту інформацію людей та їхні паролі, якими зловмисники не забарилися скористатися.
