El 15 de julio de 2020, entre las 20:00 y las 22:00 UTC , 130 cuentas de Twitter de alto perfil fueron supuestamente comprometidas por terceros para promover una estafa de bitcoin . [1] [2] Twitter y otros medios de comunicación confirmaron que los perpetradores habían obtenido acceso a las herramientas administrativas de Twitter para poder alterar las cuentas ellos mismos y publicar los tuits directamente. Parecían haber utilizado ingeniería social para obtener acceso a las herramientas a través de los empleados de Twitter. [3] [4] [5] Las autoridades arrestaron a tres personas el 31 de julio de 2020 y las acusaron de fraude electrónico , lavado de dinero , robo de identidad y acceso no autorizado a computadoras relacionado con la estafa. [6]
Los tuits fraudulentos pedían a las personas que enviaran bitcoins a una billetera de criptomonedas específica , prometiéndole al usuario de Twitter que el dinero enviado se duplicaría y se devolvería como un gesto de caridad. [7] A los pocos minutos de los tuits iniciales, ya se habían realizado más de 320 transacciones en una de las direcciones de billetera, y se habían depositado bitcoins por un valor de más de US$110.000 en una cuenta antes de que Twitter eliminara los mensajes fraudulentos. [1] [8] Además, también se adquirieron datos completos del historial de mensajes de ocho cuentas no verificadas. [9]
Dmitri Alperovitch , cofundador de la empresa de ciberseguridad CrowdStrike , describió el incidente como "el peor ataque a una importante plataforma de redes sociales hasta el momento". [2] [10] Los investigadores de seguridad expresaron su preocupación por que la ingeniería social utilizada para ejecutar el ataque pudiera afectar el uso de las redes sociales en importantes debates en línea, incluido el período previo a las elecciones presidenciales de Estados Unidos de 2020. [ 11] [12] El 31 de julio de 2020, el Departamento de Justicia de Estados Unidos anunció cargos contra tres personas en relación con el incidente. [13]
El análisis forense de la estafa mostró que los mensajes iniciales de la estafa fueron publicados primero por cuentas con nombres distintivos cortos de uno o dos caracteres, como "@6". [14] Esto fue seguido por cuentas de Twitter de criptomonedas alrededor de las 20:00 UTC del 15 de julio de 2020, incluidas las de Coinbase , CoinDesk y Binance . [15] [12] La estafa luego se trasladó a cuentas de mayor perfil con el primer tuit de este tipo enviado desde la cuenta de Twitter de Elon Musk a las 20:17 UTC. [16] Otras cuentas supuestamente comprometidas incluyeron las de personas conocidas como Barack Obama , Joe Biden , Bill Gates , Jeff Bezos , MrBeast , Michael Bloomberg , [8] Warren Buffett , [17] Floyd Mayweather Jr. , [12] Kim Kardashian y Kanye West ; [18] [2] y empresas como Apple , Uber y Cash App . [19] Twitter creía que 130 cuentas se vieron afectadas, aunque solo 45 fueron realmente utilizadas para tuitear el mensaje fraudulento; [9] [20] la mayoría de las cuentas a las que se accedió en la estafa tenían al menos un millón de seguidores. [2]
Los tuits involucrados en el hackeo fraudulento afirmaban que el remitente, en caridad, reembolsaría a cualquier usuario el doble del valor de cualquier bitcoin que enviaran a determinadas billeteras, a menudo como parte de un esfuerzo de ayuda por el COVID-19 . Los tuits siguieron a la difusión de enlaces maliciosos por parte de varias empresas de criptomonedas; el sitio web que alojaba los enlaces fue eliminado poco después de que se publicaran los tuits. [7] Si bien este tipo de estafas de "duplica tu bitcoin" han sido comunes en Twitter antes, este fue el primer caso importante de ellas enviadas desde cuentas de alto perfil vulneradas. [2] Los expertos en seguridad creen que los perpetradores ejecutaron la estafa como una operación de " aplastamiento y robo ": sabiendo que la intrusión en las cuentas se cerraría rápidamente, los perpetradores probablemente planearon que solo una pequeña fracción de los millones de personas que siguen estas cuentas necesitaran caer en la estafa en ese corto tiempo para ganar dinero rápido con ella. [2] Se habían listado múltiples billeteras de bitcoin en estos sitios web; El primero observado había recibido 12 bitcoins de más de 320 transacciones, valoradas en más de US$118.000 , y le habían quitado unos US$61.000 , mientras que un segundo tenía cantidades de solo miles de dólares mientras Twitter tomaba medidas para detener las publicaciones. [1] [8] [21] No está claro si estos habían sido fondos añadidos por aquellos guiados por la estafa, [21] [22] ya que se sabe que los estafadores de bitcoins añaden fondos a las carteras antes de iniciar los esquemas para hacer que la estafa parezca legítima. [2] De los fondos añadidos, la mayoría se habían originado en carteras con propietarios chinos, pero alrededor del 25% provenía de carteras de los Estados Unidos. [14] Después de que se añadió, la criptomoneda se transfirió posteriormente a través de múltiples cuentas como un medio para ocultar su identidad. [14]
Algunas de las cuentas comprometidas publicaron mensajes fraudulentos en repetidas ocasiones, incluso después de que se eliminaran algunos de los mensajes. [23] Los tuits estaban etiquetados como enviados mediante la aplicación web de Twitter . [24] Una de las frases involucradas en la estafa fue tuiteada más de 3000 veces en el espacio de cuatro horas, y los tuits se enviaron desde direcciones IP vinculadas a muchos países diferentes. [25] La redacción reutilizada permitió a Twitter eliminar los tuits ofensivos fácilmente mientras tomaban medidas para detener la estafa. [12]
A las 21:45 UTC, Twitter publicó un comunicado diciendo que estaban "al tanto de un incidente de seguridad que afectaba a las cuentas en Twitter" y que estaban "tomando medidas para solucionarlo". [26] Poco después, deshabilitó la capacidad de algunas cuentas para tuitear o restablecer su contraseña; [27] Twitter no había confirmado qué cuentas estaban restringidas, pero muchos usuarios con cuentas que Twitter había marcado como "verificadas" confirmaron que no podían tuitear. [28] Aproximadamente tres horas después de los primeros tuits fraudulentos, Twitter informó que creían que habían resuelto todas las cuentas afectadas para restaurar las credenciales a sus legítimos propietarios. [29] Más tarde esa noche, el director ejecutivo de Twitter, Jack Dorsey, dijo que fue un "día difícil para nosotros en Twitter. Todos nos sentimos terribles por lo que sucedió. Estamos diagnosticando y compartiremos todo lo que podamos cuando tengamos una comprensión más completa de exactamente lo que sucedió". [12] Al menos un intercambio de criptomonedas, Coinbase, puso en la lista negra las direcciones de bitcoin para evitar que se enviara dinero. Coinbase afirmó que detuvo el envío de más de 1.000 transacciones por un total de más de 280.000 dólares estadounidenses . [30]
Además de enviar tweets, se descargaron los datos de las ocho cuentas comprometidas, incluidas todas las publicaciones creadas y los mensajes directos, aunque ninguna de estas cuentas pertenecía a usuarios verificados. [9] [31] Twitter también sospechó que se accedió a los mensajes directos de otras treinta y seis cuentas, pero no se descargaron, incluido el representante del Parlamento holandés Geert Wilders , pero creía que no se había accedido a los mensajes de ningún otro funcionario electo actual o anterior. [32] [33]
Bloomberg News , después de una investigación con empleados actuales y antiguos de Twitter, informó que hasta 1500 empleados y socios de Twitter tenían acceso a las herramientas de administración que permitirían restablecer cuentas, como se había hecho durante el incidente. Los ex empleados de Twitter le habían dicho a Bloomberg que incluso en 2017 y 2018, aquellos con acceso hacían un juego de usar estas herramientas para rastrear celebridades famosas, aunque la cantidad de datos visibles solo a través de las herramientas se limitaba a elementos como la dirección IP y la información de geolocalización . Un portavoz de Twitter le dijo a Bloomberg que utilizan "una amplia capacitación en seguridad y supervisión gerencial" para administrar a los empleados y socios con acceso a las herramientas, y que "no había indicios de que los socios con los que trabajamos en servicio al cliente y administración de cuentas desempeñaran un papel aquí". [34] Ex miembros de los departamentos de seguridad de Twitter declararon que desde 2015, la empresa fue alertada sobre el potencial de un ataque interno y otras medidas de ciberseguridad, pero estas se dejaron de lado a favor de iniciativas más generadoras de ingresos. [34]
Mientras Twitter trabajaba para resolver la situación el 15 de julio, Vice fue contactado por al menos cuatro personas que afirmaban ser parte de la estafa y le presentaron al sitio web capturas de pantalla que mostraban que habían podido acceder a una herramienta administrativa de Twitter, también conocida como "herramienta de agente", [35] que les permitió cambiar varias configuraciones a nivel de cuenta de algunas de las cuentas comprometidas, incluidos los correos electrónicos de confirmación de la cuenta. Esto les permitió configurar direcciones de correo electrónico a través de las cuales cualquier otro usuario, con acceso a esa cuenta de correo electrónico, podría iniciar un restablecimiento de contraseña y publicar los tuits. [14] Estos piratas informáticos le dijeron a Vice que habían pagado a personas con información privilegiada de Twitter para obtener acceso a la herramienta administrativa para poder llevar a cabo esto. [3]
Ars Technica obtuvo un informe más detallado de un investigador que trabajó con el FBI en la investigación. Según este informe, los atacantes rastrearon LinkedIn en busca de empleados de Twitter que probablemente tuvieran privilegios de administrador en las herramientas de titulares de cuentas. Luego, los atacantes obtuvieron los números de teléfono celular de estos empleados y otra información de contacto privada a través de herramientas pagas que LinkedIn pone a disposición de los reclutadores de empleo. Después de elegir a las víctimas para la siguiente etapa, los atacantes se comunicaron con los empleados de Twitter, la mayoría de los cuales estaban trabajando de forma remota debido a la pandemia de COVID-19 , y, utilizando la información de LinkedIn y otras fuentes públicas, fingieron ser personal de Twitter. Los atacantes dirigieron a las víctimas para que iniciaran sesión en una VPN interna falsa de Twitter. Para eludir la autenticación de dos factores, los atacantes ingresaron credenciales robadas en el portal VPN real de Twitter y "en cuestión de segundos después de que los empleados ingresaran su información en el falso", pidieron a las víctimas el código de autenticación de dos factores. [36]
TechCrunch informó algo similar, basándose en una fuente que afirmó que algunos de los mensajes eran de un miembro del foro de piratería OGUsers , que había afirmado haber ganado más de 100.000 dólares gracias a ello. [4] Según la fuente de TechCrunch , este miembro "Kirk" habría obtenido acceso a la herramienta administrativa de Twitter probablemente a través de una cuenta de empleado comprometida, y después de ofrecer inicialmente hacerse cargo de cualquier cuenta a pedido, cambió de estrategia para apuntar a cuentas de criptomonedas, empezando por Binance y luego por las de mayor perfil. La fuente no creía que Kirk hubiera pagado a un empleado de Twitter por el acceso. [4]
La cuenta de Twitter "@6" pertenecía a Adrian Lamo , y el usuario que mantenía la cuenta en nombre de la familia de Lamo informó que el grupo que realizó el hackeo pudo eludir numerosos factores de seguridad que habían configurado en la cuenta, incluida la autenticación de dos factores , lo que indica además que se habían utilizado herramientas administrativas para eludir la seguridad de la cuenta. [14] [37] Portavoces de la Casa Blanca declararon que la cuenta del presidente Donald Trump , que pudo haber sido un objetivo, tenía medidas de seguridad adicionales implementadas en Twitter después de un incidente en 2017 y, por lo tanto, no se vio afectada por la estafa. [14]
Las fuentes de Vice y TechCrunch fueron corroboradas por The New York Times , que habló con personas similares involucradas en los eventos, y de otros investigadores de seguridad a quienes se les habían dado capturas de pantalla similares, y se habían hecho tweets de estas capturas de pantalla, pero Twitter las eliminó porque revelaban detalles personales de las cuentas comprometidas. [5] The New York Times afirmó además que el vector del ataque estaba relacionado con la mayor parte del trabajo remoto de la empresa durante la pandemia de COVID-19 . Los miembros de OGUsers pudieron obtener acceso al canal de comunicaciones de Slack de los empleados de Twitter donde se había fijado la información y los procesos de autorización para acceder a los servidores de la empresa mientras trabajaban de forma remota . [5]
Twitter confirmó posteriormente que la estafa involucraba ingeniería social , [38] declarando "Detectamos lo que creemos que es un ataque de ingeniería social coordinado por personas que atacaron con éxito a algunos de nuestros empleados con acceso a sistemas y herramientas internas". [3] [39] Además de tomar medidas adicionales para bloquear las cuentas verificadas afectadas, Twitter dijo que también han comenzado una investigación interna y han limitado el acceso de los empleados a sus herramientas administrativas del sistema mientras evalúan la situación, así como si los usuarios maliciosos comprometieron algún dato adicional. [29] [40]
A fines del 17 de julio de 2020, Twitter confirmó lo que se había aprendido de estas fuentes de medios, afirmando que "Los atacantes manipularon con éxito a un pequeño número de empleados y usaron sus credenciales para acceder a los sistemas internos de Twitter, incluso atravesando nuestras protecciones de dos factores. Hasta el momento, sabemos que accedieron a herramientas que solo están disponibles para nuestros equipos de soporte interno". [35] Twitter había podido confirmar además el 30 de julio que el método utilizado fue lo que llamaron un "ataque de phishing telefónico": inicialmente utilizaron ingeniería social para violar las credenciales de los empleados de Twitter de nivel inferior que no tenían acceso a las herramientas de administración, y luego, utilizando esas cuentas de empleados, participaron en ataques de ingeniería social adicionales para obtener las credenciales de las herramientas de administración de los empleados que sí tenían autorización para su uso. [41]
El FBI anunció el 16 de julio que estaba iniciando una investigación sobre la estafa, ya que se utilizó para "perpetuar el fraude de criptomonedas", un delito penal. [42] El Comité Selecto de Inteligencia del Senado también planeó pedirle a Twitter información adicional sobre el hackeo, como afirmó el vicepresidente del comité, Mark Warner : "La capacidad de los malos actores para apoderarse de cuentas prominentes, incluso fugazmente, indica una vulnerabilidad preocupante en este entorno mediático, explotable no solo para estafas sino para esfuerzos más impactantes para causar confusión, estragos y travesuras políticas". [14] El Centro Nacional de Seguridad Cibernética del Reino Unido dijo que sus oficiales se habían comunicado con Twitter con respecto al incidente. [43]
El investigador de seguridad Brian Krebs corroboró con la fuente de TechCrunch y con información obtenida por Reuters que la estafa parecía haberse originado en el grupo "OGUsers". [44] [45] [4] [46] El foro OGUsers ("OG" significa "original gangsters") se estableció para vender y comprar cuentas de redes sociales con nombres cortos o "raros", y según su propietario, hablando con Reuters, la práctica de traficar con credenciales pirateadas estaba prohibida. [46] Las capturas de pantalla del foro muestran a varios usuarios en el foro que ofrecen piratear cuentas de Twitter a 2.000-3.000 dólares cada uno. Krebs afirmó que uno de los miembros podría haber estado vinculado a la adquisición en agosto de 2019 de la cuenta de Twitter del CEO de Twitter, Jack Dorsey. [44] El propietario de OGUsers dijo a Reuters que las cuentas que se muestran en las capturas de pantalla fueron prohibidas desde entonces. [46]
El Departamento de Justicia de los Estados Unidos anunció el arresto y los cargos contra tres personas vinculadas a la estafa el 31 de julio de 2020. Un joven de 19 años del Reino Unido fue acusado de múltiples cargos de conspiración para cometer fraude electrónico, conspiración para cometer lavado de dinero y acceso intencional a una computadora protegida, y un joven de 22 años de Florida fue acusado de ayudar e instigar el acceso internacional. Ambos serán juzgados en el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California .
Un tercer individuo, Graham Ivan Clark , de 17 años, del condado de Hillsborough, Florida , también fue acusado; los cargos fueron sellados originalmente en el tribunal de menores, pero finalmente fue acusado como adulto por 30 delitos graves. [13] Los cargos incluían fraude organizado, fraude de comunicaciones, robo de identidad y piratería. La ley del estado de Florida permite juzgar a menores como adultos en casos de fraude financiero. [6] [47] [48] Clark se declaró inocente de los cargos el 4 de agosto de 2020. [48] Aceptó un acuerdo de culpabilidad en marzo de 2021 y fue sentenciado a 3 años de prisión seguidos de 3 años de libertad condicional; fue sentenciado bajo la Ley de Delincuentes Juveniles de Florida, que limita las penas a los delincuentes condenados menores de 21 años. [49] Según el Tampa Bay Times , podría "cumplir parte de su tiempo en un campo de entrenamiento de estilo militar ". [50] [51] [36]
El FBI había identificado a un cuarto individuo, un joven de 16 años de Massachusetts , como posible sospechoso de la estafa . Aunque los agentes federales habían llevado a cabo una búsqueda autorizada de sus pertenencias a fines de agosto de 2020, aún no se han presentado acusaciones formales. [52]
En abril de 2023, Joseph James O'Connor, un ciudadano británico de 23 años con el nombre de usuario en línea PlugwalkJoe, fue extraditado de España a Nueva York para enfrentar cargos después de ser arrestado en julio de 2020 y se informó que había pirateado más de 100 cuentas de Twitter, incluidas las cuentas de Apple, Uber, Kanye West, Bill Gates, Joe Biden, Barack Obama y Elon Musk. O'Connor también está acusado de extorsionar cerca de $ 800,000 en criptomonedas. O'Connor se declaró culpable [53] [54] y el 23 de junio fue sentenciado a cinco años de prisión federal además de por entregar al menos $ 794,000 a las víctimas del secuestro. [55]
Inmediatamente después, los usuarios afectados solo podían retuitear contenido, lo que llevó a NBC News a configurar una cuenta temporal no verificada para que pudieran seguir tuiteando, retuiteando "actualizaciones significativas" en su cuenta principal. [56] Algunas oficinas de pronóstico del Servicio Meteorológico Nacional no pudieron tuitear advertencias de clima severo, y el Servicio Meteorológico Nacional en Lincoln, Illinois, inicialmente no pudo tuitear una advertencia de tornado . [57] La campaña de Joe Biden declaró a CNN que estaban "en contacto con Twitter sobre el asunto" y que su cuenta había sido "bloqueada". [1] Google deshabilitó temporalmente su carrusel de Twitter en su función de búsqueda como resultado de estos problemas de seguridad. [58]
Durante el incidente, el precio de las acciones de Twitter, Inc. cayó un 4% después del cierre de los mercados . [59] Al final del día siguiente, el precio de las acciones de Twitter, Inc. terminó en $36,40, una caída de 38 centavos, o 0,87%. [60]
Los expertos en seguridad expresaron su preocupación por el hecho de que, si bien la estafa puede haber sido relativamente pequeña en términos de impacto financiero, la capacidad de las redes sociales para ser controladas a través de ingeniería social que involucre a los empleados de estas empresas plantea una gran amenaza en el uso de las redes sociales, particularmente en el período previo a las elecciones presidenciales de Estados Unidos de 2020 , y podría potencialmente causar un incidente internacional. [11] Alex Stamos , del Centro de Seguridad y Cooperación Internacional de la Universidad de Stanford , dijo: "Twitter se ha convertido en la plataforma más importante cuando se trata de discusión entre las élites políticas, y tiene vulnerabilidades reales". [12]
Twitter decidió retrasar el lanzamiento de su nueva API a raíz de los problemas de seguridad. [61] En septiembre, Twitter declaró que había puesto en marcha nuevos protocolos para prevenir ataques de ingeniería social similares, incluyendo el aumento de las comprobaciones de antecedentes de los empleados que tendrían acceso a los datos clave de los usuarios, la implementación diaria de claves de seguridad resistentes al phishing y la participación de todos los empleados involucrados en la atención al cliente en una formación para estar al tanto de futuras estafas de ingeniería social. [62]
Aunque no formaron parte del incidente de Twitter, Steve Wozniak y otras diecisiete personas iniciaron una demanda contra Google la semana siguiente, afirmando que la empresa no tomó las medidas suficientes para eliminar videos similares de estafas con Bitcoin publicados en YouTube que usaban su nombre y el de los otros demandantes, afirmando fraudulentamente que respaldaban la estafa. La denuncia de Wozniak identificó que Twitter pudo actuar en el mismo día, mientras que las solicitudes de él y los otros demandantes a Google nunca fueron atendidas. [63]
El 29 de septiembre de 2020, Twitter contrató a Rinki Sethi como CISO y vicepresidente de la empresa después de la filtración. [64]
El 20 de noviembre de 2020, Hulu transmitió el quinto episodio de la serie "The New York Times Presents" titulado "El adolescente que hackeó Twitter", que detalla los eventos de este incidente. [65]
{{cite web}}: CS1 maint: nombres numéricos: lista de autores ( enlace )