Hacker Twitter

Vi ricordate l’hackeraggio di Twitter lo scorso 16 luglio? Un giorno che rimarrà nella storia dell’azienda, poiché decine di account appartenenti a persone importanti sono stati hackerati, permettendo di diffondere finti annunci dove si prometteva di raddoppiare i bitcoin inviati ad un indirizzo.

Come è stato possibile organizzare un attacco mirato con così ampio raggio? Come è stato possibile focalizzare questo tipo di intrusione su una fascia temporale ben precisa?

La società ha per prima istanza bloccato tutti gli account VIP per evitare qualsiasi nuovo tweet, poi ha analizzato l’integrità del suo sistema e attivato un’indagine approfondita per comprendere la dinamica dell’attacco e le falle sulla sicurezza che hanno permesso di attuarlo. Quello che è stato scoperto è molto interessante.

L’attacco è stato possibile, come spiega Twitter nel suo sito, mediante la manipolazione delle scelte dei suoi dipendenti. L’hacker, in pratica, ha costruito un framework in grado di indirizzare la scelta dei dipendenti per ottenere l’accesso agli strumenti interni.

L’hacker è riuscito ad avere i dati di accesso agli strumenti interni alla piattaforma, compreso il codice del doppio fattore, per accedere a 130 account. La società non spiega in che modo, ma possiamo intuire che siano state adottate tecniche di phishing 1 Attacco che prevede di inviare una finta email con le stesse caratteristiche di quella originale. Questa contiene un link ad un sito manipolato per rubare i dati di login dell’utente. e sim wap. 2Attacco che mira a clonare la SIM card di un’utente facendosi consegnare dall’operatore una copia dopo aver inoltrato una finta denuncia di smarrimento. L’hacker ottiene la ricezione dei codici usa e getta di accesso ai siti dove è stato attivato il doppio fattore.

Di questi 130 account, 45 sono diventati accessibili ed operativi mediante il reset della password con il cambio dell’indirizzo email. Quindi l’hacker ha inserito un suo indirizzo email e ricevuto la password di accesso. Inoltre su 8 account è stato possibile anche scaricare tutto il pacchetto di dati con lo strumento “Your Twitter Data” reso disponibile grazie alla legge GDPR per la privacy. Nessuno di questi account era un account verificato.

La società dichiara di aver aiutato tutte le persone vittime dell’attacco a recuperare correttamente l’accesso al proprio account in modo sicuro, inoltre dichiara che l’hacker non ha avuto accesso alla password precedente perché queste non sono archiviate in formato testuale.

Ora l’azienda lavorerà per evitare che un episodio del genere si possa ripetere. Saranno introdotti, inoltre, dei corsi per i dipendenti per consentire loro di evitare di cadere in trappole come quelle del phishing, con esercitazioni da ripetere durante l’anno.

Leave a comment

Cosa ne pensi?