- در روز 15 جولای حدود ساعت 3 بعدازظهر، چندین حساب کاربری هک شده اشخاص مهم در توییتر از مخاطبین خود درخواست کردند تا به افراد نیازمند، بیت‌کوین اهدا کنند.
- مهاجمین توانستند حدود 120 هزار دلار به سرقت ببرند.
در روز 15 جولای، چندین حساب کاربری هک شده اشخاص مهم در توییتر از مخاطبین خود درخواست کردند تا به افراد نیازمند، بیت‌کوین اهدا کنند. پیام حاوی یک پیوند اهدای بیت‌کوین نیز بود. مهاجمین توانستند حدود 120 هزار دلار به سرقت ببرند. اگرچه ناچیز به‌نظر می‌‌رسد اما حمله این چنینی باید مورد توجه زیادی قرار بگیرد.
در مجموع 45 حساب کاربری توییتری که شامل حساب‌های باراک اوباما، ایلان ماسک، مایکل بلومبرگ، کیم کارداشیان، حساب رسمی شرکت اپل و یک سیاست‌مدار هلندی بود، مورد نفوذ و حمله قرار گرفتند.
قسمت پیام‌های خصوصی 36 مورد از 45 حساب نیز مورد دستبرد هکرها قرار گرفت. حیرت‌آور است که پس از این همه سال وعده توییتر مبنی‌بر رمزگذاری پیام‌های خصوصی، همچنان اقدامی صورت نگرفته بود.
در شرایط سیاسی امروز که تهدیدات جنگ و مکالمات مهم اقتصادی بین سیاست‌مداران از طریق توییتر صورت می‌گیرد، خسارت ناشی از مورد دسترس قرار گفتن پیام‌های خصوصی، واقعا ترسناک است.
نفوذی که صورت گرفت اهمیت چندانی ندارد؛ اما پیامدهای آن هشداری برای دولت‌ها، سازمان‌ها، تجار و مهم‌تر از همه خود توییتر است.
هکرهای این ماجرا نوجوانان کم‌سن‌و‌سال بودند. انگیزه آن‌ها از این حمله به دست آوردن اعتبار هم‌سن‌و‌سالان یا به‌عبارت دقیق‌تر اعتبار مجرمین فضای آنلاین بود.
در ضمن اگر به‌دنبال راهکارهایی، برای بالابردن امنیت کامپیوتر خود هستید میتوانید مقاله‌ی ما؛ امنیت کامپیوتر شخصی و روش‌های بهبود آن را مطالعه کنید.
این حمله چطور رخ داد؟
موضوع اصلی این است که این حمله چطور رخ داد و سازمان شما چه کاری برای پیشگیری موارد مشابه می‌تواند انجام دهد.
جابه‌جایی سیم‌کارت
جابه‌جایی سیم‌کارت اصطلاحی است که مجرمان سایبری برای رشوه، زورگیری و اخاذی یا نفوذ به کارمندان داخلی شرکت برای دسترسی به تلفن همراه یا حساب شبکه اجتماعی آن‌ها، استفاده می‌کنند.
در برخی موارد تاکتیک‌های مهندسی اجتماعی مورد استفاده قرار می‌گیرد. مهندسی اجتماعی در واقع دست‌کاری روانی کارکنان برای لو دادن چنین اطلاعاتی است.
یک مثال این روش: ارسال نامه‌های جعلی برای متقاعد کردن یک کارمند برای افشای رمز عبور خود است.
به نظر می‌آید که هک توییتر، توسط یک کارمند داخلی این شرکت انجام شد.
در ابتدا این کارمند، آدرس‌های ایمیل مرتبط با هرکدام از حساب‌ها را تغییر داد. سپس احراز هویت دومرحله‌ای را خاموش کرد. این اقدام او منجر به ارسال یک هشدار به آدرس جدید ایمیل‌های تحت اختیار نفوذگران شد. در این مرحله نفوذگران کلاهبرداری بیت‌کوین را شروع کردند.
درس‌هایی که می‌توان گرفت
توییتربا این داستان درس سختی در مورد اینکه دسترسی ویژه و انحصاری (یا به معنای فلسفه‌ای آن “به هیچ‌کس اطمینان نکن”) یک امر واجب و ضروری‌ست، گرفت.
به این معنا که هیچ کارمندی نباید اجازه دسترسی به داده‌ها، ابزارها یا کنترل‌هایی که خارج از محدوده شغلی آن‌ها می‌باشد را کسب کند.
بعلاوه، قبل از اعطای دسترسی به یک کارمند حتما این اجازه، همراه با جزییات موارد دسترسی و میزان زمان آن را در یک برگه مخصوص به‌طور رسمی و قانونی ذکر بفرمایید.
در این حالت بسترهای مدیریت خدمات IT می‌توانند به‌شکل سیستماتیک روند مجوزدهی را کنترل و بازرسی کنند. همچنین این باعث به وجود آمدن یک مانع برای فعالیت‌های بدخواهانه داخلی می‌شود. زیرا کارمند از اینکه فعالیت‌هایش رصد می‌شوند، آگاه است.
یک قدم جلوتر برویم، شاید بهتر باشد که سازمان‌های بزرگ در معرض این‌گونه حملات مانند توییتر، یک راه‌حل مبتنی‌بر هوش مصنوعی که حرکات کاربر و معیارهای خطر را رصد کند، پیاده‌سازی کنند.
شاید یک ابزار یادگیری ماشین موارد خط قرمز، مانند ورود یک کارمند به سیستم از یک مکان متفاوت یا در یک زمان مشکوک را، شناسایی کند.
درحالی‌که مبادله پول در این مورد هنوز تایید نشده است اما از زمان شیوع ویروس کرونا حملات سیم‌کارتی و رشوه، گسترش بسیاری داشته‌‌‌اند.
حمله توییتری به احتمال زیاد به دیگر نفوذگران قوت قلب می‌دهد تا کارمندان داخلی را هدف خود قرار دهند. اشخاصی که از نظر آن‌ها پتانسیل گمراه شدن دارند و همچنین می‌توانند زیرمیزی دریافت کنند. این تهدید تنها محدود به سازمان‌های بزرگ نمی‌شود. کسب‌وکارهای کوچک‌تر نیز در معرض خطرند.
چگونه از وقوع این‌گونه حملات جلوگیری کنیم؟
در این شرایط سخت اقتصادی هیچ‌کس از حملات تعویض سیم‌کارت، مهندسی اجتماعی و همچنین رشوه در امان نیست. در ادامه چند توصیه کارآمد و کوتاه برای محافظت از امنیت سازمان شما ذکر خواهیم کرد:
- استراتژی “به هیچ‌کس اطمینان نکن” یا اطمینان صفر را به کار ببرید.
- مواظب فعالیت‌های مشکوک حساب‌های کارکنان خود باشید.
- یک دستورالعمل کسب مجوز برای کارکنان ایجاد کنید. تا به این وسیله آن‌ها مجبور به کسب اجازه برای کارهای خاص نظیر: دانلود حجم بالای داده‌ها یا استفاده از سایت‌های اشتراک فایل، باشند.
- به کارکنان خود در مورد اینکه چطور از اطلاعات حیاتی محافظت کنند، سیاست امنیتی شرکت چیست و مهم‌تر از همه عواقب سرپیچی از آن‌ها، آموزش دهید.
- تا آن‌جایی که مربوط به توییتر است، آن‌ها قول داده‌اند که در زمینه محافظت از اطلاعات بهتر عمل کنند و ضمانت داده‌اند که برخی از روش‌های مذکور را به کار ببرند. درنهایت توییتر گفت: “ما شرمساریم، ما ناراحت هستیم و بالاتر از همه متاسفیم.”
