😱 TWITTER hackerata da un gruppo di ragazzini

15 luglio 2020. Il mondo sta ancora affrontando la pandemia di COVID-19, esplosa con tutta la sua forza solo pochi mesi prima. Sono molte le celebrità che in quel periodo di incertezza e difficoltà generali stanno facendo beneficenza, ad esempio finanziando la costruzione di ospedali o offrendo aiuto a chi ha perso il lavoro. Non stupisce quindi il tweet di Elon Musk con cui il magnate proprietario di Tesla dice di voler aiutare la sua community ad affrontare la pandemia. Il tweet proveniente dal profilo ufficiale di Musk recita: "Sto aiutando la mia community per via del COVID. Tutti i Bitcoin inviati al mio indirizzo verranno restituiti in misura doppia. Se mi mandi $1.000, ti invierò $2.000. Lo farò solo per i prossimi 30 minuti. Divertitevi!" Non è nemmeno un'iniziativa così strana considerando che Elon Musk ha sempre avuto un approccio piuttosto stravagante nelle sue iniziative. Quello che è strano è che tweet praticamente identici iniziano a essere pubblicati anche sui profili ufficiali di altre celebrità come Jeff Bezos, Bill Gates, Joe Biden, Barack Obama e di multinazionali come Apple e Uber. Ben presto ci si accorge che qualcosa non va, ma prima che la situazione venga fermata e risolta vengono inviati oltre $120.000 in criptovalute agli indirizzi indicati nei tweet. E la cosa peggiore è che non si è trattato di un hackeraggio sofisticato, non è stato violato alcun sistema, si è trattato solo di alcune telefonate mirate fatte da un ragazzino di 17 anni. Vediamo cos'è successo. Ciao a tutti e benvenuti in questo nuovo video. Oggi analizzeremo l'attacco a Twitter del 2020 e vedremo come è stato compiuto e ovviamente anche cosa avrebbe potuto fare l'azienda per evitarlo. Parlo e che cosa ha fatto chiaramente dopo. Partiamo dalla mente dietro all'attacco, ovvero Graham Ivan Clark. Clark nasce in Florida nel 2003 e fin da piccolo si appassiona di informatica, mostrando ben presto un interesse per la parte più oscura della tecnologia. Ad esempio, nel 2018 si unisce a un forum chiamato OGUsers, nato per lo scambio di account e nomi utenti e di dominio ritenuti rari o di particolare valore. Questo forum era tenuto d'occhio dalle forze dell'ordine statunitensi perché spesso si trovavano post che incitavano al furto di account o che utilizzavano minacce e tecniche di manipolazione anche molto gravi per costringere gli utenti dei vari social media a cedere il proprio nome di account perché ritenuto interessante dai membri del forum. Clark viene bannato dal forum, pensate, dopo soli 4 giorni, apparentemente perché aveva idee ancora più estremiste degli altri membri. Ma qui intanto aveva conosciuto due persone che poi diventeranno suoi complici nell'attacco a Twitter. Nel 2019 poi Clark fa il suo primo attacco, questa volta da solo, riuscendo a rubare 164 Bitcoin a un investitore sfruttando una vulnerabilità dell'autenticazione a più fattori. Come ho anticipato anche nel video di ieri, l'autenticazione a più fattori o MFA, che starebbe proprio per Multi-Factor Authentication, serve ad aumentare la sicurezza dei login a un sito o a un servizio. Il tipo di MFA più conosciuto consiste nell'inserire prima username e password e poi confermare la propria identità inserendo un codice ricevuto via SMS o chiamata. Clark aveva capito che una volta entrato in possesso di username e password della sua vittima gli mancava solo quell'ultimo tassellino, quel codice ricevuto via SMS per entrare dove voleva. E aggirare questo passaggio, beh, era relativamente semplice. Bastava avere abbastanza informazioni sulla sua vittima per poterla impersonare, chiamare un operatore telefonico fingendosi lei e dire di aver smarrito il telefono e nel giro di poco tempo gli sarebbe arrivata a casa una SIM nuova di zecca con il numero della sua vittima. Il furto dei Bitcoin del 2019 è andato proprio così. Le forze dell'ordine statunitensi fra l'altro sono riuscite anche a beccarlo, ma non hanno potuto arrestarlo perché aveva solo 16 anni. Clark, vedendo quanto l'attacco era stato semplice e che comunque non aveva subito praticamente alcuna conseguenza, ha iniziato a pensare di poter fare ancora di più. Ha iniziato a pensare: come potrei rubare tanti bitcoin a tante persone tutte in una volta? Nel 2020, con la pandemia, arriva la sua occasione propizia. Come anticipavo all'inizio del video, varie celebrità stavano già facendo beneficenza e donando denaro. Clark decide quindi di impersonare più personaggi famosi e di convincere le persone a inviargli dei bitcoin. Il primo passaggio necessario era ovviamente entrare negli account delle celebrità. Insieme ai suoi due complici di OGUsers, esperti nel furto di account, inizia a pensare a come fare. Va detto su questo che i tre ragazzi erano abbastanza bravi con la tecnologia, ma non erano degli hacker così sofisticati e impenetrabili come si potrebbe pensare. Clark aveva però una competenza molto specifica: era un abilissimo manipolatore. L'attacco è iniziato sotto forma di spear phishing, cioè di campagne phishing mirate a colpire proprio determinate persone. Persone, nello specifico i dipendenti di Twitter. Clark si fingeva del reparto informatico di Twitter e riusciva ogni volta a convincere le persone a rivelare le proprie credenziali di accesso. E poi, con i propri trucchetti già consolidati, aggirava l'autenticazione a più fattori, o clonando la SIM della vittima, oppure convincendo la vittima stessa a comunicargli il codice ricevuto via SMS. Questa tecnica è stata efficacissima anche perché è stata attuata in un momento in cui i dipendenti lavoravano quasi tutti da casa, perché la pandemia era già iniziata, per cui si faceva già quasi tutto per telefono. Pensateci un attimo: se io sono del reparto IT, quindi sono l'informatico dell'azienda, io e te lavoriamo nello stesso edificio e devo fare una verifica sul tuo computer, mi conviene venire alla tua scrivania e farlo di persona. Ma se stiamo lavorando entrambi da casa, mi conviene chiamarti. Ed è proprio questa situazione che Clark ha sfruttato. Tramite questi espedienti, i 3 ragazzi nel giro di poco hanno avuto accesso agli account di posta elettronica di vari dipendenti arrivando a comprendere nel profondo il funzionamento di Twitter e di tutti i processi aziendali. Ad esempio, hanno potuto consultare documentazione o tool interni che hanno rivelato quali altri dipendenti avessero i permessi necessari per gestire gli account degli utenti di Twitter. Queste informazioni interne hanno fornito agli aggressori le indicazioni su chi colpire successivamente. In breve tempo hanno individuato ulteriori dipendenti con accesso agli strumenti di support account, quindi il pannello amministrativo usato dal servizio clienti Twitter e hanno ripetuto l'attacco di social engineering anche contro di loro, ottenendo credenziali con livelli di autorizzazione man mano più elevati. A quel punto, Clarke aveva in mano le chiavi di Twitter. Gli c'è voluto pochissimo per entrare negli account delle singole celebrità, postare il tweet incriminato chiedendo di inviare Bitcoin al suo indirizzo e uscire. Come vedete, non ci sono stati malware, virus, backdoor, rotture di firewall, sistemi ultra complicati. Sono bastate delle ricerche mirate sulle persone e delle telefonate e delle mail ben congegnate. È letteralmente tutto qui. Anche i tweet in sé, che dovevano servire a convincere le persone a inviare Bitcoin al suo indirizzo, sfruttavano le 6 tecniche di manipolazione tipiche del social engineering di cui vi ho parlato nel video di ieri. Nello specifico, i tweet sfruttavano: 1) l'autorevolezza e la credibilità delle celebrità, perché i tweet erano pubblicati proprio dagli account ufficiali, quelli con la spunta blu. 2) I buoni sentimenti delle persone, nello specifico la loro fiducia nei confronti di chi diceva di star facendo beneficenza. 3) Allo stesso tempo l'avidità delle persone che speravano in un ritorno economico importante senza fare praticamente nulla. 4) E ultima ma non meno importante, l'urgenza. Quasi tutti i tweet dicevano che l'offerta era valida solo per chi faceva quel pagamento entro 30 minuti, per cui le persone si sono interrogate meno sulla veridicità della cosa. E hanno fatto il pagamento quanto prima per non farsi sfuggire quest'occasione. E so già che qualcuno di voi penserà: "Ma dai, com'è possibile cascarci? Era palese che si trattasse di una truffa." In realtà la chiave dell'attacco, oltre all'aver sfruttato alla perfezione il momento storico in cui tutte le celebrità avviano iniziative di beneficenza, è stata proprio la quantità di account che Clark è riuscito a violare. Io ve ne ho citati solo alcuni, ma in totale sono stati pubblicati questi tweet in 45 account di diverse personalità pubbliche. Soprattutto VIP e politici. E il fatto che tutti questi personaggi pubblicassero tweet praticamente identici ha dato credibilità alla cosa. Era più facile credere che la Apple avesse deciso di aderire alla stessa iniziativa di Elon Musk che pensare che entrambi quegli account fossero stati violati. Comunque, una volta intuito quello che era successo, sono iniziate immediatamente le indagini che hanno portato all'identificazione e all'arresto di tutti e tre gli individui. Clark in particolare è stato arrestato il 31 luglio 2020 e incriminato con 30 capi d'accusa, tra cui frode informatica, furto di identità, uso criminale di informazioni personali e così via. Nonostante fosse minorenne, è stato perseguito come un adulto data la gravità dei reati. Nel marzo 2021 Clark ha confessato la propria responsabilità nell'attacco per arrivare a un patteggiamento. Si è dichiarato quindi colpevole e ha accettato una condanna a 3 anni di detenzione in un istituto giovanile seguiti da 3 anni di libertà vigilata. Il motivo di una pena così contenuta tutto sommato è che si è dimostrato subito molto collaborativo e comunque era minorenne al momento del crimine. Uno dei suoi complici, Mason John Sheppard, di 19 anni, lui cittadino invece britannico, è stato incriminato da una corte federale statunitense con le accuse di frode telematica, riciclaggio di denaro e accesso non autorizzato a sistemi informatici in relazione al hack di Twitter. Shepard sarebbe stato coinvolto soprattutto nel tentativo di vendere l'accesso agli account compromessi ad altri soggetti malintenzionati e nello sfruttamento dell'attacco per guadagno personale. È stato arrestato dalle autorità britanniche ad agosto 2020 su richiesta degli Stati Uniti, ma in realtà non ho trovato informazioni sull'esito del processo. Il terzo complice era Nima Fazeli, di 22 anni, anche lui della Florida come Clark. È stato arrestato a fine luglio 2020 e accusato di aver fatto da intermediario insieme a Sheppard per trovare acquirenti interessati a comprare gli account Twitter rubati o comunque l'accesso ad essi. Anche su di lui ci sono in realtà veramente poche informazioni per quanto riguarda processo e condanna. Le autorità hanno poi indicato che almeno un altro individuo potrebbe essere stato coinvolto nell'attacco senza però essere inizialmente identificato pubblicamente. Fra l'altro, in base allo username utilizzato da questo potenziale quarto soggetto, si è poi pensato che fosse Clark stesso sotto un altro nome. In ogni caso, grazie alla rapida indagine dell'FBI e delle forze dell'ordine internazionali, nel giro di poche settimane dall'attacco tutti i principali responsabili sono finiti sotto accusa, evitando così ulteriori danni. In totale sono stati compromessi 130 account Twitter durante l'attacco. Di questi, 45 account sono stati utilizzati attivamente dagli hacker per inviare questi tweet fraudolenti mentre gli altri furono comunque violati, ad esempio per leggere messaggi privati o provare a vendere le credenziali di accesso online. Il guadagno totale dei 3 ragazzi è stato stimato in circa $120.000 in Bitcoin, che comunque sono stati poi restituiti alle vittime per quanto possibile. Twitter ha dovuto temporaneamente bloccare molti degli account di multinazionali e celebrità finché non fosse garantita la loro sicurezza. Tra l'altro, il valore del titolo Twitter in borsa ha subito un immediato crollo di circa un 3% a seguito della diffusione della notizia, che per fortuna è stato recuperato abbastanza velocemente. L'azienda ha, ovviamente, aumentato fin da subito la propria sicurezza. Oggi il numero di dipendenti con privilegi amministrativi sugli account utente è significativamente ridotto rispetto al 2020 e questi privilegi sono concessi solo per strette necessità di lavoro, con procedure di approvazione e controllo molto più serrate. Questo cambiamento strutturale fa sì che, anche se in futuro un dipendente venisse nuovamente compromesso, l'account violato non avrebbe automaticamente poteri illimitati sulla piattaforma. Un altro importante miglioramento è stata l'implementazione di metodi di autenticazione molto più sicuri per gli accessi interni. Twitter ha reso obbligatorio per tutti i suoi dipendenti e collaboratori l'uso di chiavi di sicurezza fisiche come metodo di autenticazione a più fattori. Nel giro di poche settimane ogni membro dello staff Twitter ha ricevuto una chiavetta fisica da utilizzare per il login di login, molto più sicura rispetto al semplice codice SMS. Twitter ha poi assunto un nuovo Chief Security Officer, un CSO, quindi qualcuno deputato esclusivamente a migliorare la sicurezza informatica dell'azienda, e ha investito molto sulla formazione interna e la sensibilizzazione dei dipendenti. Sono stati istituiti programmi obbligatori di training sulla sicurezza con aggiornamenti periodici per tutto lo staff, prevedendo anche delle esercitazioni operazioni di phishing interne regolari tramite invio di mail simulate per testare e migliorare la reattività del personale. L'obiettivo dichiarato è stato quello di creare una cultura aziendale in cui ogni dipendente sia consapevole di essere la prima linea di difesa, o se vogliamo l'anello più debole. Questo cambio culturale dovrebbe ridurre la probabilità che in futuro un dipendente fornisca credenziali al telefono come avvenuto nel 2020. In conclusione, l'attacco hacker a Twitter del luglio 2020 ha messo in luce gravi vulnerabilità, ma ha anche innescato quantomeno dei cambiamenti positivi. Oltre all'azione penale contro i responsabili, Twitter ha rivisto proprio tutta la propria sicurezza interna da cima a fondo e ha implementato delle misure strutturali, tecniche e organizzative per proteggere meglio sia la piattaforma sia i suoi utenti più in vista. L'evento ha sensibilizzato anche un po' tutta l'opinione pubblica e i legislatori sull'importanza di trattare i social network come delle infrastructure critiche critiche da difendere e ha spinto Twitter a essere più proattiva nel prevenire degli abusi futuri. Anche se ovviamente nessun sistema è totalmente inviolabile, le probabilità di un attacco analogo riuscito sono oggi notevolmente ridotte rispetto al 2020, proprio grazie alle lezioni apprese e alle riforme attuate. Bene, spero che questo video vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questa vicenda. Noi ci rivediamo al prossimo video.