Najväčší útok v histórii sociálnych sietí
V lete 2020 otriasol svetom útok na platformu Twitter, pri ktorom sa útočníkom podarilo prevziať kontrolu nad účtami niekoľkých najznámejších ľudí planéty – medzi nimi Elon Musk, Bill Gates, Jeff Bezos, Barack Obama či Apple.
Účty s miliónmi sledovateľov zrazu začali zverejňovať príspevky s výzvou na zaslanie bitcoinov s prísľubom, že peniaze pošlú „dvojnásobne späť“.
Hoci sa útok na prvý pohľad zdal ako klasický hackerský prienik, pravda bola oveľa zložitejšia – a znepokojivejšia.
Ako sa útočníci dostali dnu
Vyšetrovanie ukázalo, že hackeri neprekročili technické zabezpečenie platformy priamym útokom.
Namiesto toho oklamali zamestnancov Twitteru pomocou sociálneho inžinierstva.
Kontaktovali ich cez interné kanály, vydávali sa za kolegov z IT oddelenia a presvedčili ich, aby im poskytli prístup k interným administrátorským nástrojom.
Týmto spôsobom získali prístup do tzv. interného panela Twitteru, ktorý umožňuje spravovať používateľské účty – meniť e-maily, resetovať heslá a obchádzať aj dvojfázové overenie.
V podstate sa dostali „za oponu“ systému, kde sa 2FA už neuplatňuje.
Dôsledky a reakcia Twitteru
V priebehu niekoľkých hodín útočníci pomocou ukradnutých účtov získali od dôverčivých používateľov viac než 120 000 dolárov v bitcoinoch.
Twitter okamžite zablokoval všetky overené účty, vypol interné prístupy a spustil vyšetrovanie.
Zodpovední boli neskôr vypátraní – išlo o skupinu mladíkov z USA a Veľkej Británie, pričom hlavným páchateľom bol len 17-ročný Graham Clark z Floridy.
Twitter po incidente sprísnil interné bezpečnostné protokoly, zaviedol povinné viacúrovňové overovanie pre zamestnancov a obmedzil prístup k administrátorským nástrojom len na úzku skupinu ľudí.
Čo tento prípad ukázal
Twitter 2020 sa stal školským príkladom toho, že technológia zlyháva nie pre svoju slabosť, ale pre ľudskú dôverčivosť.
Aj keď boli účty chránené 2FA, útočníci ho obišli cez interné prístupy, ktoré spravovali skutoční zamestnanci.
žiadny systém nie je bezpečný, ak sa doň dostane niekto, kto má dôveru zvnútra.
Aj preto dnes firmy kladú väčší dôraz na školenie zamestnancov, interné overovania a princíp minimálnych právomocí.
„Najväčšie riziko v kybernetickej bezpečnosti nie je hacker, ale človek, ktorý mu otvorí dvere.“
Twitter 2020 zostáva pripomienkou, že aj najväčšie firmy musia myslieť na najslabší článok – ľudský faktor.
