روز گذشته گروهی از هکرهای خرابکار با در اختیار گرفتن صفحه توییتر جک دورسی، مدیرعامل این شبکه اجتماعی سر و صدای زیادی به پا کردند. این گروه که خود را «جوخه خندان» نامیده اند، پیام های توهین آمیز و نژادپرستانه متعددی را در این صفحه منتشر کردند که بار دیگر ضعف‌های امنیتی تایید هویت از طریق موبایل و امنیت پایین حساب های کاربری حتی در سطوح بالا را به رخ کشید.
هکرها برای دسترسی به این صفحه از سرویس پیامک-توییت Cloudhopper بهره برده اند. این اپ به کاربران اجازه می دهد با اتصال شماره موبایل به حساب کاربری توییتر، از طریق ارسال پیامک به یک سر شماره توییت کنند. علی رغم مفید بودن این روش در مواقع عدم دسترسی به اینترنت و برای کاربران دارای گوشی ساده؛ اگر فرد دیگری کنترل سیمکارت را به دست بگیرد، قادر به ارسال توییت هم خواهد بود.
بر اساس بیانیه توییتر جوخه خندان هم با استفاده از همین روش و به لطف «سهل انگاری امنیتی سرویس دهنده» کنترل صفحه توییتر جک دورسی را در اختیار گرفته بود. در این روش که «جایگزینی سیمکارت» نام دارد، هکر با اپراتور تماس برقرار کرده و با ارائه شواهد مختلف خود را به جای مالک اصلی جا می زنند. در نهایت مهاجم از اپراتور می خواهد شماره را به گوشی دیگری اختصاص دهد و به همین آسانی از سد معیارهای امنیتی نظیر احراز هویت دو مرحله‌ای عبور می کند.
دسترسی به مدارکی که نشان دهد هکر صاحب اصلی سیم کارت است، روش های مختلفی دارد. برای مثال یک تیم نه نفره ابتدا به عنوان اپراتور با قربانی تماس برقرار کرده و اطلاعات مورد نظر را از خود او دریافت می کردند.
سیم کارت ربایی روش متداولی است و قبلا برای سرقت رمزارز و اکانت های پرفالور اینستاگرام از آن استفاده شده است. کاربران برای در امان ماندن از این روش باید از پین کد استفاده کنند. در یکی از مشهورترین موارد پس از آنکه «مایکل ترپین»، سرمایه دار حوزه رمزارزها قربانی این روش شد، سهل انگاری اپراتور را اینگونه توصیف کرد:
کاری که AT&T کرد شبیه این است که یک هتل به سارقی با کارت شناسایی تقلبی، کلید اتاق و صندوق امانات را بدهد تا جواهرات مهمانان را بدزدد.
نفوذ هکرها به صفحه توییتر جک دروسی از این طریق یک شرمساری بزرگ برای توییتر است چرا که سالهاست دنیای فناوری از وجود روشی به نام سیم کارت ربایی با خبر است و از طرف دیگر دورسی قبلا هم قربانی هکرها شده بود؛ بنابرین ناتوانی این شبکه اجتماعی پر طرفدار در اطمینان از عدم دسترسی خرابکاران به سیم کارت هم بنیانگذار و مدیرعامل شرکت، به هیچ وجه توجیه پذیر نیست.
