Twitter podlehl masivnímu kyberútoku

Twitter podlehl kyberútoku. A to masivnímu. Nebyly jen napadeny jednotlivé účty, ale došlo ke kompromitaci systému Twitteru - konkrétně některé z jeho programových komponent, která umožnila opakovaný přístup k napadeným účtům. Útočníci nezasáhli jen tak pro srandu králíkům, ale prostřednictvím účtů celebrit a známých značek vylákali z kapes důvěřivců statisíce dolarů.

 

Celý Twitter zachvátil kryptoscam - tedy podvod (scam), který se snaží z důvěřivců vylákat peníze. V rámci víry v nevystopovatelnost využívají útočníci anonymní platební prostředky: kryptoměny.  A aby to bylo byť jen kapku uvěřitelné, napadnou a zneužijí (nejlépe oficiální) účet známé osobnosti či firmy.

Tento model útoku se v minulosti již několikrát objevil. Ač je zákeřný, bývá omezený svým dosahem a často i nízkou důvěryhodností. Často totiž nekoresponduje s dlouhodobým poselstvím účtu, používá jiné vyjadřovací prostředky a tonalitu komunikace vůbec. Bývá rychle identifikován coby útočný pokus a snadno zastaven buď přímo správcem účtu, nebo za pomoci podpory Twitteru. Ovšem tentokrát bylo všechno jinak. 

Twittery mnoha celebrit a značek začaly ve středu 15. července 2020 v 16 hodin času východního pobřeží USA (22:00 našeho času) začaly svorně šířit nótu dobročinnosti. Konkrétně šlo o účty Billa Gatese, Elona Muska, Baracka Obamy, Warrena Buffetta, Jeffa Bezose, Michaela Bloomberga, Kanyeho Westa, oficiální účty značek Apple, Uber, NBC a další. A poselství bylo kupodivu celkem umně formulováno:

Myslíme, že je na čase vrátit něco zpět komunitě. Podporujeme Bitcoin a myslíme, že vy byste měli také. 

Vše, co nám pošlete v průběhu 30 minut od teď pošlete, vám vrátíme zpět.

Bitcoinová peněženka: bc1qxy2kgdygjrsqtzq2n0yrf2493p83kkfjhx0wlh

Pouze 30 minut! Užívejte!

A dařilo se. Ona blockchainová peněženka nyní čítá 12.86584703 BTC (cca 116 616 USD či 2 733 264 CZK). Akce údajně trvala 2 hodiny. Twitter celou situaci připustil v 23:45 našeho času: „Zaznamenáváme bezpečnostní incident, který ovlivňuje účty na Twitteru. Celou situaci prošetřujeme a podnikáme kroky, abychom ji zabránili.“ Poté se Twitter pustil do stejně masivního zablokování všech postižených účtů , zamezení přístupu k účtům a prošetření celé situace. Své uživatele Twitter informuje:

• Detekovali jsme útok pomocí sociálního inženýrství, zaměřený na naše zaměstnance, kteří měli přístup k interním nástrojům a systémům. 
• Už víme, že zneužili získaný přístupu k ovládnutí mnoha účtů, kterým se dostává zvýšené pozornosti (a to včetně účtů ověřených). Z těchto účtů pak útočníci postovali tweety. Právě zjišťujeme, co všechno mohli útočníci přes tento vstup provádět či k jakým informacím se mohli dostat.
• Jakmile jsme zjistili narušení bezpečnosti, uzamkli jsem tyto účty a odstranili tweety postnuté útočníky.
• Také jsme omezili funkčnost mnohem širší skupině účtů, a to včetně účtů ověřených, i když u nich nejsou známky ohrožení bezpečnosti.
• Uzamkli jsme přístup k napadeným účtům a opět je zpřístupníme majitelům teprve tehdy, až si budeme jisti, že tak můžeme učinit zcela bezpečně. 
• Interně jsme značně omezili veškeré přístupy k vnitřním nástrojům a systémům do té doby, než skončí vyšetřování.

Ze všeho vyplývá, že útočným vektorem tentokrát nebyla hrubá síla lámání hesel konkrétních hesel, ale napadení Twitteru přes to, co několikrát označuje jako interní nástroje a systémy. Útočníci se k nim dostali přes úspěšné sociální inženýrství provedené na zaměstnance Twitteru. 

Zásadní otázkou, jaké po každém narušení bezpečnosti zůstává, nakolik se útočníky podařilo dostat ze systému? A nakolik je jisté, že už nemají přístup k oněm interním nástrojům a systémům? 

Zdroje

• Blockchain.com
• Fotka od Clker-Free-Vector-Images z Pixabay, Fotka od Javad Rajabzade z Pixabay

 

Daniel Beránek, 16.07.2020 17:52

 

 

 

	Jarní aktualizace ZPS X: AI úpravy fotek rychleji, chytřeji, přesněji Český software Zoner Photo Studio X přichází s jarní aktualizací, která posouvá hranice fotoeditace na novou úroveň. Díky pokročilým AI nástrojům a dalším inovacím je práce s fotografiemi rychlejší, preciznější...
	Mistral Small 3: malý, ale s velkými možnostmi Francouzští vývojáři Mistral, známí svou láskou k open-source, přichází s novým AI modelem Mistral Small 3. S 24 miliardami parametrů je sice menší než konkurenční obři, zato však nabízí rychlost, nízké...
	DeepSeek R1 a Qwen2.5-Max: přijde osvěžení AI z Číny? Nové AI modely DeepSeek R1 a Qwen2.5-Max představují dva odlišné přístupy k tréninku a provozním nárokům, které by mohly zásadně ovlivnit budoucí vývoj umělé inteligence. Zatímco DeepSeek R1 se profiluje jako model postavený na...
	Grok od xAI: první kroky v podobě samostatné aplikace Grok, umělý inteligentní asistent od společnosti xAI, udělal další krok na cestě k větší dostupnosti. Coby samostatná aplikace se šíří na další platformy. Co Grok nabídne, kde ho již můžeme vyzkoušet a co teprve přijde? ...