Twitter dice que el hack CryptoForHealth engañó al personal con Spear Phishing

Twitter ha identificado que su reciente hack fue resultado de un phishing de teléfono. Los piratas informáticos causaron el caos después de obtener temporalmente acceso a las herramientas internas de la compañía.

El alcance

Una actualización de la publicación del blog de Twitter realizado durante el jueves por la mañana informó al público sobre el reciente hack que vio a las cuentas de usuarios de alto perfil comprometidas con estafas de Bitcoin. Según el comunicado, los ataques de “spear phishing” aprovecharon las “vulnerabilidades humanas” para engañar a los empleados del gigante de las redes sociales. La actualización se produce dos semanas después de que el ataque afectara a los principales influencers en la plataforma, incluidos Elon Musk y Bill Gates.

¿Qué es el Spear Phishing?

Anteriormente, Twitter había identificado el método por el cual las credenciales se veían comprometidas como un “ataque de ingeniería coordinado”. Los piratas informáticos obtuvieron acceso a la información de la cuenta de los empleados de Twitter, algunos de los cuales tuvieron acceso a herramientas internas y, por lo tanto, la posibilidad de publicar en las cuentas de los usuarios. El phishing estándar involucra a hackers que se presentan como servicios legítimos como los bancos. Solicitan a los usuarios iniciar sesión, restablecer una contraseña o iniciar sesión en un sitio web. A menudo, el usuario será llevado al sitio real después de que la información haya sido robada y, por lo tanto, no se dará cuenta. El spear phishing o suplantación de identidad es un poco más personal. Según la firma de seguridad Kaspersky:

El spear Phishing es una estafa de correo electrónico o comunicaciones electrónicas dirigida a un individuo, organización o negocio específico.

A diferencia del phishing tradicional que puede enviar correos electrónicos masivos con la esperanza de enganchar a algunos usuarios vulnerables, el spear phishing requiere investigación en un objetivo específico. En otras palabras, el ataque no fue un golpe de suerte, sino un ataque prolongado e investigado diseñado para obtener los detalles de la cuenta de personal específico de Twitter.

Teorías de conspiración

Al acceder, los piratas informáticos afirmaron ofrecer mayores cantidades de criptomonedas de manera gratuita a cambio de enviar cantidades menores a ciertas direcciones (por caridad, por supuesto). No hace falta decir que aquellos que cayeron en la trampa no recibieron nada. Se han sugerido otras motivaciones más siniestras. Con menos de 200,000 dólares robados, el ataque puede haber sido diseñado para humillar a Twitter. El autor más vendido, Don Winslow, sugirió que era simplemente una prueba de funcionamiento. Él cree que el truco estaba relacionado con la manipulación que rodeaba las elecciones estadounidenses. Otros especulan que podría haber sido algún actor tratando de lanzar criptomonedas en una mala luz. El ataque, aunque completo, podría no haber sido tan bien coordinado. El New York Times afirma haber hablado con varios hackers involucrados en el ataque. Según los informes, los actores más pequeños interactuaron con un pirata informático conocido como “Kirk” que creó las wallets de Bitcoin asociadas con la estafa. Estos intermediarios afirmaron que tenían entre 19 y 20 años y vivían en el Reino Unido y Estados Unidos, dijo The Times. Kirk se acercó a uno de ellos, originalmente afirmando que trabajaba para Twitter, ofreciéndole vender detalles de la cuenta. Un pirata informático que habló con The Times afirma que no se infiltró en ninguna de las cuentas de Twitter de alto perfil. Según los informes, Twitter ha restringido la capacidad de cualquier usuario para publicar cadenas de números y letras, posiblemente como una forma de evitar la publicación de direcciones de wallets. El precio de las acciones de la compañía bajó brevemente después del ataque, pero pronto se recuperó. Los críticos argumentan que los medios pueden, una vez más, estar exagerando el impacto de tal ataque. Los ataques de phishing revelan un problema que la tecnología nunca puede resolver: el error humano.