Главу Twitter Джека Дорси взломали с помощью подмены SIM-карты Статьи редакции
Этот способ существует из-за недоработок безопасности сотовых операторов.
Хакеры взломали главу Twitter Джека Дорси благодаря краже телефонного номера. Для этого они убедили оператора перепривязать номер к дубликату SIM-карты. Об этом сообщила пресс-служба Twitter.
После захвата номера злоумышленники использовали сервис Cloudhopper, который позволяет отправлять твиты через SMS, обычно, по номеру 40404. Таким образом они смогли дольше оставаться незамеченными и сохранять доступ к аккаунту: восстановление пароля не лишило их доступа к профилю.
Система предназначена для случаев, когда у пользователей нет доступа к аккаунту в приложении. Она требует только привязки номера к профилю, которая чаще всего и так подключена у пользователей из-за правил безопасности.
Хакеры использовали старую технику подмены SIM, которую часто применяют для взлома популярных Инстаграм-аккаунтов и кражи биткоинов. Суть атаки в убеждении операторов в необходимости замены SIM-карты: в США для этого не нужно личное присутствие владельца номера, обычно достаточно лишь даты рождения или домашнего адреса.
Взломавшие Дорси хакеры уже не в первый раз использовали подобный способ. До этого точно так же взломали больше десяти блогеров с помощью подмены SIM-карт. Журналисты полагают, что у злоумышленников есть собственный способ взлома с помощью AT&T, который также оказался оператором Дорси.
Как отметили на The Verge, пока от этого способа нет надёжной защиты. Можно добавить PIN-код к аккаунту у оператора или регистрировать профили в соцсетях на чужие номера, однако средний пользователь вряд ли станет этим заниматься.
Твиттер-аккаунт главы Twitter Джека Дорси взломали в пятницу 30 августа. Хакеры разместили в его профиле с 4,2 миллионами подписчиков расистские твиты и записи с одобрением нацизма. Команда Twitter вернула контроль над аккаунтом в течение 15 минут.
До этого Дорси взламывали в 2016 году. Тогда хакеры получили доступ к его аккаунту Vine и через него опубликовали твиты.
Для получения чужих смс не надо "подменять сим карту", достаточно сообщить твоему сотовому оператору что ты сейчас находишься в роуминге и он сам все твои смс отправит злоумышленнику. Никакой аутентификации в стеке протоколов SS7 не предусмотрено https://en.wikipedia.org/wiki/Signalling_System_No._7#Protocol_security_vulnerabilities
Это давно известно, но очень сложно проэксплуатировать. Способ описанный в статье гораздо проще реализовать.
Не сложно
Комментарий недоступен
Я уже давно реализовал ты под колпаком
Комментарий недоступен
Так а разве ретвитить можно через текстовые сообщения? В аккаунте Дорси были не только твиты, но и ретвиты
Комментарий недоступен
Комментарий недоступен
Пароль от аккаунта восстановили, в него залогиниться они не могли, а писали твиты через смс-сообщения с привязанного номера.
Может теперь наконец они позволят полностью запретить двухфакторную авторизацию по номеру телефона, как это сделал Google, например
Когда у телефона приоритет над паролем это не двухфакторная а однофакторная идентификация. И гугл её не отменял, при регистрации надо указывать телефон, потом правда можно врубить ещё более мощную привязку к самому телефону всмысле к устройству, но это нихера не круто, это получше чем смс но все телефоны проприетарные с хуй знает кем переделанной системой причём без доступа в инет это наверное работать не будет (но это не точно) так что даже всякие оффлайн виртуальные машины с андроидом не спасут
Комментарий недоступен