В кінці минулого тижня обліковий запис Twitter Джека Дорсі, генерального директора Twitter, був зламаний. Заволодівши обліковим записом, зловмисники почали публікувати від імені Дорсі образливий і расистський контент, а також заявили, що в штаб-квартирі компанії встановлено бомбу. Відповідальність за цю атаку взяла на себе хакерська група Chuckle Gang.
За офіційними даними, атака сталася через недогляд оператора мобільного зв’язку, який, імовірно, скомпрометував і дозволив стороній особі використовувати номер телефону Дорсі для надсилання SMS. Справа в тому, що до недавнього часу Twitter можна було використовувати через SMS-повідомлення, що було доволі популярним на початку появи цього сервісу. Головна умова: ця функція мала підтримуватися оператором зв’язку. Обмеження в 140 символів з’явилося саме з цієї причини: через максимальну довжину SMS-повідомлень.
Про цю «слабкість» Twitter було відомо давно. Так, наприкінці 2018 року експерти Insinia Security попереджали про небезпеку використання SMS-повідомлень як другого фактора автентифікації та пояснили, чому використання функцій Twitter через SMS було ризикованим. Що ще гірше, в мережі є статті про небезпеку цієї функції, датовані 2007 та 2009 роками.
Проблема в тому, що останніми роками кіберзлочинці дедалі частіше «викрадають» SIM-карти користувачів, використовуючи так звану підміну SIM-карти (SIM swap). Суть таких атак полягає в тому, що злочинець звертається до представників мобільного оператора жертви та застосовує соціальну інженерію. Наприклад, видаючи себе за власника номера, зловмисник стверджує, що втратив або зламав SIM-карту, і намагається перенести номер на нову SIM-карту. Потім зловмисники отримують доступ до облікових записів, прив’язаних до номера телефону, таким чином викрадаючи особистість інших людей. Такі атаки часто використовуються для крадіжки великих сум криптовалюти або для компрометації дорогих облікових записів Instagram.
Розробники Twitter оголосили, що після зламу Дорсі вони вирішили вимкнути функцію надсилання твітів через SMS-повідомлення. Наголошується, що це тимчасове призупинення, однак час відновлення цієї функції поки що не називається. Цікаво, що водночас розробники певною мірою перекладають відповідальність на операторів мобільного зв’язку, наголошуючи, що вони мають усунути вразливості з їхнього боку.
