Mercoledì 15 luglio, nel pomeriggio, alcuni degli account più seguiti di Twitter hanno cominciato a pubblicare lo stesso messaggio: mandami bitcoin e te ne restituisco il doppio. Barack Obama, Joe Biden, Elon Musk, Bill Gates, Jeff Bezos, Apple, Uber e molti altri. In poche ore all’indirizzo della truffa sono arrivati bitcoin per oltre 100.000 dollari.
Le password degli utenti non c’entrano. Twitter ha spiegato che gli attaccanti hanno preso di mira, con tecniche di ingegneria sociale, un piccolo numero di dipendenti con accesso agli strumenti interni di supporto. Con le loro credenziali hanno superato anche la verifica a due fattori aziendale e hanno usato il pannello con cui il personale gestisce gli account: cambio dell’email associata, reset della password, disattivazione delle protezioni.
Secondo il bilancio comunicato finora, gli account presi di mira sono 130. Per 45 gli attaccanti sono riusciti a reimpostare la password, entrare e pubblicare. Per un massimo di 8, tutti non verificati, hanno scaricato l’archivio completo dei dati con lo strumento «Your Twitter Data». Per contenere l’attacco Twitter ha bloccato per alcune ore la pubblicazione da parte degli account verificati e ha limitato l’accesso agli strumenti interni mentre le indagini proseguono.
Il bersaglio era una persona, non un server
Mettiti per un momento nei panni di chi ha organizzato l’attacco. Violare direttamente l’account di Obama è difficile. Trovare il dipendente che con un clic può cambiare l’email di quell’account, e convincerlo che stai chiamando dal supporto IT, è un problema di tutt’altro tipo. Si risolve con un pretesto credibile, un po’ di urgenza e qualche informazione raccolta in anticipo.
Ogni azienda ha il suo pannello di Twitter: il gestionale che reimposta le password dei clienti, la console che modifica i permessi, la casella di chi autorizza i bonifici. Chi ci lavora va considerato un bersaglio prioritario. Gli strumenti amministrativi dovrebbero restare nelle mani di pochissime persone, con le azioni critiche approvate da due di loro e tutte registrate. Per quegli account le chiavi di sicurezza fisiche resistono al phishing molto meglio dei codici via SMS o app. E la formazione deve lasciare un’idea semplice: nessuno chiede credenziali o codici al telefono, nemmeno chi si presenta come collega.
Per gli utenti la regola è ancora più semplice. Nessuno regala il doppio dei soldi che gli mandi, nemmeno con la spunta blu.
