Violación de Twitter: personalized engañado por «phishing de lanza de teléfono»


Los atacantes explotaron el component humano para obtener acceso a los sistemas internos de Twitter y a las cuentas de algunas de las figuras más prominentes del mundo.

Twitter – todavía recuperándose de lo reciente violación descarada donde los malhechores secuestraron 130 cuentas pertenecientes a figuras prominentes y usaron las manijas para vender una estafa de bitcoin, ahora ha arrojado algo de luz sobre las circunstancias que llevaron al incidente.

De acuerdo a la investigación de la empresa, los atacantes usaron Ingeniería social para apuntar a un puñado de sus empleados a través de un «ataque de phishing por teléfono».

En un típico phishing de lanza ataque, un prison se hace pasar por una entidad confiable y envía un correo electrónico o mensaje instantáneo a la medida a un objetivo bien investigado para robar su información confidencial, como credenciales de inicio de sesión o información financiera, o para entregar malware.

En el caso de Twitter, la incursión parece haber involucrado llamadas telefónicas y sucedió en múltiples fases. “No todos los empleados que fueron atacados inicialmente tenían permisos para usar herramientas de administración de cuentas, pero los atacantes usaron sus credenciales para acceder a nuestros sistemas internos y obtener información sobre nuestros procesos. Este conocimiento les permitió dirigirse a empleados adicionales que tenían acceso a nuestras herramientas de soporte de cuentas «, dijo el gigante de las redes sociales.

Luego, los atacantes aprovecharon estas credenciales para acceder a las herramientas que necesitaban para su gran esquema: infiltrarse en 130 cuentas, tuitear desde 45, acceder a mensajes directos (DM) de 36 y descargar datos de siete. La compañía describió el ataque como un «intento significativo y concertado de engañar a ciertos empleados y explotar las vulnerabilidades humanas».

Twitter continuó diciendo que, a la luz del ataque, revisó sus medidas de seguridad y limitó severamente el acceso a sus herramientas y sistemas internos, mientras investiga más el incidente. La compañía advirtió que esto puede conducir a una experiencia de usuario restringida:

«Como resultado, algunas características (a saber, acceder a Sus datos de Twitter función de descarga) y los procesos se han visto afectados. Seremos más lentos para responder a las necesidades de soporte de la cuenta, Tweets informados y aplicaciones a nuestra plataforma de desarrollador «.

La plataforma de redes sociales también anunció que está trabajando para mejorar sus métodos relacionados con la prevención y detección de acceso y uso inapropiados de sus herramientas internas. Twitter también prometió continuar realizando ejercicios de phishing en toda la empresa.

LECTURA RELACIONADA ¿Te engancharía una estafa de phishing? Pruébate

Poco después de la violación de seguridad que facts del 15 de julioth, la cuenta secuestrada del CEO de Tesla, Elon Musk, disparó un tweet que decía: «Me siento generoso por Covid-19». Duplicaré cualquier pago BTC enviado a mi dirección BTC durante la próxima hora. ¡Buena suerte y mantente a salvo allí!

Una serie de tuits similares siguieron a otras cuentas pirateadas, incluidas las de Barack Obama, Joe Biden, Monthly bill Gates y Jeff Bezos, entre otros. La estratagema aparentemente funcionó, ya que una de las billeteras de criptomonedas recibió 12.86 BTC (unos US $ 117,000) en un corto período de tiempo.

Poco después del incidente, tarjeta madreperiodista de seguridad Brian Krebs, y el New York Instances Todos publicaron relatos interesantes de lo que condujo a la violación, junto con testimonios de personas presuntamente involucradas en el esquema.

Lectura adicional

Qué hacer si su cuenta de Twitter ha sido pirateada





Enlace a la noticia first