上周末，Twitter创始人兼首席执行官杰克·多西（Jack Dorsey）的推特账号遭到黑客入侵。攻击者在控制该账号后，开始以多西的名义发布攻击性和种族主义内容，并声称公司总部已被安放炸弹（此类威胁很难被视为恶作剧，根据美国法律可能引发联邦调查）。
此次攻击由黑客组织Chuckle Gang承认，该组织此前曾入侵过其他社交网络名人的账号。关于该组织的成员构成和目的，几乎一无所知。多西的虚假推文在网上留存了约半小时，随后被删除。
安全专家和用户很快发现，这些未经授权的消息来源于CloudHopper。这家专门从事短信与Twitter相关技术的公司于2010年被收购。CloudHopper的一项主要功能是允许用户通过短信发送推文。因此，社区中出现了一种推测：攻击者利用SIM卡交换攻击获取了多西的真实手机号码，并通过短信操作了他的账号。
不久之后，这一推测得到了官方证实。Twitter的负责人表示，此次攻击源于一家移动运营商的安全漏洞，该漏洞使未经授权的人员得以使用多西的号码发送短信。
有趣的是，Twitter早已意识到这一“弱点”。事实上，早在2018年底，Insinia Security的专家就曾警示以短信作为第二重身份验证因素的危险，并解释了为何通过短信使用Twitter功能存在困难。更糟糕的是，网上早在2007年和2009年就已出现关于该功能危险性的文章。
事实是，Twitter至今仍可以通过短信使用，这在该服务刚推出之初相当流行。主要前提是运营商需支持此功能。问题在于，近年来，网络犯罪分子越来越多地通过所谓的SIM卡交换（SIM swap）手段“窃取”SIM卡。
此类攻击的实质在于，犯罪分子会联系受害者移动运营商的工作人员，并运用社会工程学手段。例如，攻击者冒充号码的所有者，声称自己丢失或损坏了SIM卡，并试图将号码转移到新的SIM卡上。随后，攻击者便可窃取与该手机号码关联的账户，从而盗用他人的身份。这类攻击常被用于盗取大量加密货币，或入侵价值不菲的Instagram账号。
如果攻击者获取了某人的手机号码，该用户会立即遇到许多问题，其中之一可能就是Twitter。事实上，要接管他人在这一微博平台上的账号，只需输入与该账号绑定的手机号码即可。
容我提醒一下，杰克·多西在2016年就曾遭遇过黑客入侵。当时，黑客组织OurMine宣称对此次攻击负责，并表示他们入侵了多西的Dropbox，在其中发现了“各种各样的Vine文件”，包括控制面板的截图。事实证明，控制面板的操作者可以看到人们的个人信息和密码，而攻击者对此毫不客气地加以利用。
