خرق على تويتر: خداع الموظفين من خلال "التصيد الاحتيالي عبر الهاتف"

استغل المهاجمون العامل البشري للوصول إلى أنظمة تويتر الداخلية وحسابات بعض الشخصيات البارزة في العالم

لقد سلط Twitter – الذي لا يزال يتعافى من الاختراق الوقح الأخير حيث اختطف الأوغاد 130 حسابًا ينتمون إلى شخصيات بارزة واستخدموا المقابض للتداول في عملية احتيال بيتكوين – الآن يلقي بعض الضوء على الظروف التي أدت إلى الحادث.

بالنسبة الى تحقيق الشركة، استخدم المهاجمون الهندسة الاجتماعية لاستهداف حفنة من موظفيها عبر “هجوم تصيد رمح عبر الهاتف”.

في هجوم التصيد الرمح النموذجي ، يتنكر الإجرامي ككيان موثوق به ويرسل بريدًا إلكترونيًا مخصصًا أو رسالة فورية إلى هدف مدروس جيدًا لسرقة معلوماتهم الحساسة ، مثل بيانات اعتماد تسجيل الدخول أو المعلومات المالية ، أو لتقديم برامج ضارة.

في حالة تويتر ، يبدو أن التوغل تضمن مكالمات هاتفية وحدث في مراحل متعددة. “لم يكن لدى جميع الموظفين الذين تم استهدافهم في البداية أذونات لاستخدام أدوات إدارة الحساب ، لكن المهاجمين استخدموا بيانات اعتمادهم للوصول إلى أنظمتنا الداخلية والحصول على معلومات حول عملياتنا. بعد ذلك مكنتهم هذه المعرفة من استهداف موظفين إضافيين ممن لديهم حق الوصول إلى أدوات دعم الحساب لدينا.

نحن نشارك تحديثًا بناءً على ما نعرفه اليوم. سنقدم تقريرًا أكثر تفصيلاً عما حدث في وقت لاحق بالنظر إلى التحقيق الجاري في إنفاذ القانون وبعد الانتهاء من العمل لزيادة حماية خدمتنا. https://t.co/8mN4NYWZ3O

– دعم تويتر (TwitterSupport) 31 يوليو 2020

ثم استفاد المهاجمون من بيانات الاعتماد هذه للوصول إلى الأدوات التي يحتاجونها لمخططهم الكبير – اختراق 130 حسابًا ، والتغريد من 45 ، والوصول إلى الرسائل المباشرة (DMs) لـ 36 ، وتنزيل البيانات من سبعة. ووصفت الشركة الهجوم بأنه “محاولة كبيرة ومتضافرة لتضليل بعض الموظفين واستغلال نقاط الضعف البشرية”.

وتابع تويتر أنه في ضوء الهجوم ، قام بمراجعة إجراءاته الأمنية وقيّد بشدة الوصول إلى أدواته وأنظمته الداخلية ، بينما يحقق في الحادث بشكل أكبر. حذرت الشركة من أن هذا قد يؤدي إلى تقليص تجربة المستخدم:

ونتيجة لذلك ، فإن بعض الميزات (وهي الوصول إلى بيانات تويتر الخاصة بك ميزة التنزيل) وقد تأثرت العمليات. سنكون أبطأ في الاستجابة لاحتياجات دعم الحساب والتغريدات المبلغ عنها والتطبيقات لمنصة المطورين لدينا. “

كما أعلنت منصة التواصل الاجتماعي أنها تعمل على تحسين أساليبها فيما يتعلق بمنع وكشف الوصول غير المناسب واستخدام أدواتها الداخلية. وتعهد تويتر أيضًا بمواصلة إجراء تمارين التصيد على مستوى الشركة.

القراءة ذات الصلة: هل ستحصل على مدمن مخدع من خلال خداع التصيد؟ اختبر نفسك

بعد فترة وجيزة من الاختراق الأمني الذي يعود إلى 15 يوليو^العاشر، الحساب المختطف من الرئيس التنفيذي لشركة Tesla Elon Musk أطلق تغريدة قائلة “أشعر بالسخاء بسبب Covid-19. سأضاعف أي دفعة BTC مرسلة إلى عنوان BTC الخاص بي للساعة التالية. حظا سعيدا ، والبقاء في أمان هناك! “

تبعت سلسلة من التغريدات المتشابهة من حسابات اختراق أخرى ، بما في ذلك حسابات باراك أوباما وجو بايدن وبيل جيتس وجيف بيزوس ، من بين آخرين. يبدو أن الحيلة عملت ، حيث أن إحدى محافظ العملات المشفرة تلقت 12.86 BTC (حوالي 117000 دولار أمريكي) على مدى فترة زمنية قصيرة.

بعد فترة وجيزة من الحادث ، نشرت كل من Motherboard والصحفي الأمني Brian Krebs و New York Times جميعًا روايات مثيرة للاهتمام حول ما أدى إلى الخرق ، مع شهادات من أشخاص يُزعم تورطهم في المخطط.