El ciberataque a Twitter se llevó a cabo con uno de los métodos clásicos de estafa: a través de llamadas telefónicas. La acción, que terminó comprometiendo las cuentas de personalidades como Bill Gates o Elon Musk, se realizó por un grupo de delincuentes que engañaron a empleados de la red social para obtener sus credenciales de acceso a ciertas herramientas.
La propia plataforma informó lo siguiente:
«Los atacantes dirigieron su acción a ciertos empleados de Twitter mediante un plan de ingeniería social. Manipularon con éxito a un pequeño número de empleados y utilizaron sus credenciales para acceder a los sistemas internos de Twitter, incluso para superar nuestras protecciones de dos factores. Sabemos que accedieron a herramientas que solo están disponibles para nuestros equipos de soporte interno, y se sirvieron de ellas para atacar a 130 cuentas de Twitter. En 45 de esas cuentas, los atacantes pudieron iniciar un restablecimiento de contraseña, iniciar sesión en la cuenta y publicar Tweets. Estamos llevando a cabo una revisión pericial de todas las cuentas para confirmar todas las acciones que se hayan podido tomar. Además, creemos que pueden haber intentado vender algunos de los nombres de usuario.»
Desde Twitter señalan que, no todos los empleados que fueron contactados inicialmente por los atacantes tenían acceso a las herramientas de control necesarias en la plataforma, pero los atacantes aprovecharon sus datos igualmente con el fin de obtener más información sobre la operación de la red social. «Este conocimiento les permitió dirigirse a empleados adicionales que tenían acceso a nuestras herramientas de soporte de cuentas», explican.
La situación, que puso en jaque a la red social durante varias horas, llegando a desactivar parcialmente la opción para tuitear, ha hecho que la empresa se replantee sus procesos. Entre las acciones a tomar se encuentra la revisión del nivel de acceso que tienen los empleados a herramientas clave de la plataforma.
Es importante recordar que el eslabón más débil de cualquier cadena de seguridad es el usuario, y precisamente por esto, la ingeniería social busca explotar este punto débil, apelando a la vanidad, la avaricia, la curiosidad, el altruismo, el respeto o temor a la autoridad de las personas para conseguir que revele cierta información o que permita el acceso a un sistema informático. En este contexto, siempre será necesario informar a los usuarios para que tomen conciencia de los posibles problemas de seguridad en las empresas.
Fuente https://hipertextual.com/2020/07/hackeo-twitter-engano-telefonico
