Los hackers demuestran lo fácil que es hacerse cargo de las cuentas de Twitter secuestrando el perfil de Jack Dorsey

¿Cuáles son las consecuencias de una cuenta de red social comprometida? Es justo decir que depende en gran medida de quién posee dicha cuenta. Para la mayoría de los usuarios habituales, es solo un inconveniente que, siempre que presten suficiente atención a su seguridad en línea, no debería causar demasiado dolor. Para las personas que tienen muchos seguidores y ganan dinero con su presencia en las redes sociales, el impacto es mucho más significativo.

Sin embargo, cuando una persona a cargo de un sitio web de redes sociales se ve comprometida su cuenta, el nivel de vergüenza, tanto para dicha persona como para la plataforma que atiende, es realmente enorme. El cofundador y CEO de Twitter Jack Dorsey conoce este sentimiento demasiado bien.

El viernes, los 4,2 millones de seguidores de Dorsey en Twitter de repente presenciaron una corriente inusual de tweets. Fue inusual por dos razones diferentes. Primero, aunque dirige la plataforma, Dorsey no es exactamente el usuario de Twitter más activo del mundo, y rara vez publica múltiples actualizaciones en un corto período de tiempo. Sin embargo, lo que es más importante, los tweets no se ajustaban realmente al CEO de una importante empresa de Silicon Valley. Contenían calumnias racistas y mensajes que están completamente fuera de contexto. La gente inmediatamente sospechó que la cuenta de Dorsey podría haber sido pirateada, y el hashtag #ChucklingSquad despejó todas las dudas.

Como señaló The Verge, Chuckling Squad es un grupo de ciberdelincuentes que intentan hacerse un nombre hackeando las cuentas de varias celebridades y personalidades de las redes sociales, y Jack Dorsey es su víctima más destacada hasta la fecha. Los tweets falsos fueron eliminados rápidamente, y Twitter admitió que su CEO había comprometido su cuenta. Pero, ¿cómo lo hizo el Escuadrón Chuckling?

Jack Dorsey fue víctima de un ataque de intercambio de SIM

Dorsey está lejos de ser el primer CEO de Silicon Valley en tener su perfil de redes sociales secuestrado. Hace un par de años, los piratas informáticos entraron en múltiples cuentas que pertenecían al propio Sr. Social Network, Mark Zuckerberg. Lo hicieron después de descubrir que el CEO de Facebook no es un gran admirador de la autenticación de dos factores y utiliza una contraseña lamentablemente simple para proteger sus cuentas.

De hecho, la sensación de perder el control de su cuenta en su propia plataforma tampoco es nueva para Jack Dorsey. En 2016, los ciberdelincuentes explotaron algunas aplicaciones de terceros no utilizadas para enviar algunos tweets falsos en nombre de Dorsey.

Sin embargo, durante el ataque del viernes, los delincuentes no utilizaron una aplicación de terceros, y tampoco adivinaron la contraseña de Dorsey. En cambio, se hicieron cargo de la cuenta utilizando una técnica llamada intercambio de SIM .

En un ataque de intercambio de SIM, los delincuentes convencen a los proveedores de servicios móviles de que emitan una nueva tarjeta SIM asociada con el número de teléfono de la víctima. De esa manera, tienen control sobre dicho número de teléfono y pueden hacerse pasar por el objetivo. En el caso de Jack Dorsey, también publicaron tweets en su nombre.

Pudieron hacerlo porque la plataforma de microblogging de Dorsey ha tenido una característica llamada " Twitter vía SMS " por un tiempo. Está disponible para usuarios en bastantes países y, como se puede imaginar, permite a los propietarios de cuentas enviar mensajes de texto que aparecen como tweets en su perfil. Usando un conjunto de comandos , también pueden retuitear y recibir actualizaciones de otras personas, seguir, bloquear y enviar mensajes directos a otras cuentas. Después de secuestrar el número de teléfono de Jack Dorsey, los delincuentes también pudieron hacer todas estas cosas.

Twitter dice que no tiene la culpa

A raíz del ataque, Twitter dijo en una serie de tuits que todo fue el resultado de "una supervisión de seguridad por parte del proveedor de telefonía móvil". El equipo de comunicaciones anunció que los propios sistemas de Twitter no se han visto comprometidos y decidió no revelar qué tipo de mecanismos evitarían ataques similares en el futuro.

Básicamente, parece que Twitter piensa que toda la culpa debe recaer en la puerta del proveedor de servicios móviles, lo cual es controvertido en el mejor de los casos. De hecho, la compañía de telecomunicaciones de Dorsey no hizo lo suficiente para proteger su número de teléfono, y esto en sí mismo es bastante preocupante teniendo en cuenta la cantidad de daño que se puede lograr con un solo número secuestrado.

Por otro lado, sin embargo, los servicios en línea como Twitter deberían hacer todo lo posible para limitar este daño tanto como sea posible, y la forma en que el sitio web de microblogging respondió al ataque realmente no sugiere que se esté tomando esta responsabilidad muy en serio. El intercambio de SIM es un truco bastante antiguo ahora, y debería ser parte del modelo de amenaza de todos. Desafortunadamente, los proveedores de telecomunicaciones ciertamente se están quedando atrás en lo que respecta a la prevención, y en todo caso, esto debería ser un incentivo aún mayor para que las personas de seguridad hagan todo lo posible para protegernos.