To Twitter ανακοίνωσε την Τετάρτη ότι αποφάσισε να απενεργοποιήσει προσωρινά τη λειτουργία που επιτρέπει στους χρήστες να δημοσιεύουν tweets μέσω SMS, σε μια προσπάθεια να προστατεύσει τους λογαριασμούς τους, έπειτα από hacking που υπέστη ο CEO του κοινωνικού δικτύου.
“Κάνουμε αυτό το βήμα εξαιτίας των τρωτών σημείων που πρέπει να αντιμετωπιστούν από τους παρόχους κινητής τηλεφωνίας και την εξάρτησή μας από έναν συνδεδεμένο αριθμό τηλεφώνου για έλεγχο ταυτότητας δύο παραγόντων (εργαζόμαστε για τη βελτίωση αυτού)”, δήλωσε το Twitter.
Πρόσθεσε: “Θα ενεργοποιήσουμε ξανά αυτή τη δυνατότητα για τις αγορές που εξαρτώνται από SMS για αξιόπιστη επικοινωνία σύντομα, ενώ εργαζόμαστε για τη μακροπρόθεσμη στρατηγική μας πάνω σε αυτό το χαρακτηριστικό”.
Η απόφαση αυτή πάρθηκε έπειτα από μία επίθεση, που πραγματοποίησε η ομάδα hacking Chuckling Squad, στο λογαριασμό του CEO του Twitter Jack Dorsey. Αφού πήραν το έλεγχο του λογαριασμού, οι hackers δημοσίευσαν προσβλητικά μηνύματα και ακόμη και απειλές για τοποθέτηση βόμβας. Τα ψεύτικα tweets ήταν ορατά για περίπου μισή ώρα πριν αφαιρεθούν.
Η τεχνική που χρησιμοποίησαν οι hackers, προκείμενου να πραγματοποιήσουν την επίθεση, ονομάζεται SIM swap. Χρησιμοποίησαν social engineering για να πείσουν έναν υπάλληλο της AT & T να μεταφέρει τον τηλεφωνικό αριθμό του Dorsey σε μια δική τους κάρτα SIM. Μόλις πήραν τον έλεγχο του αριθμού του Dorsey, χρησιμοποίησαν μια υπηρεσία που ανήκει στο Twitter, η οποία ονομάζεται Cloudhopper, για να δημοσιεύσουν tweets στο λογαριασμό του CEO.
Το Cloudhopper επιτρέπει στους χρήστες να δημοσιεύουν tweet, να ακολουθούν ή να καταργούν followers και να πραγματοποιούν αλλαγές διαμόρφωσης αποστέλλοντας μηνύματα SMS από έναν αριθμό τηλεφώνου που συνδέεται με τον λογαριασμό τους στο Twitter. Στην επίθεση εναντίον του Dorsey, αυτό επέτρεψε στους hackers να δημοσιεύσουν tweets χωρίς να χρειάζεται να συνδεθούν στο λογαριασμό.
Η ομάδα Chuckling Squad έχει χρησιμοποιήσει επανειλημμένα την τεχνική SIM swaping για να στοχεύει και άλλα δημόσια πρόσωπα.
