专栏首页新智元史无前例被黑,推特有内鬼!

史无前例被黑,推特有内鬼!


新智元报道

来源:cnbc

编辑:鹏飞、白峰

【新智元导读】周三,Twitter疑似遭SIM交换诈骗,黑客通过贿赂推特员工,从内部攻破了Twitter的安防系统,贝索斯、奥巴马、盖茨等大批名人官微被黑,近12万美元的BTC流入黑客账户。这背后究竟有哪些不为人知的故事?

我,贝索斯,这是我的比特钱包,只要你往里面打1比特币,我就返你2比特币。你打多少我双倍返还。5000万美元截止,先到先得。

熟悉的配方,熟悉的味道。身为国内网民,这种QQ骗局真的是见太多了。可这次不一样,这次是贝索斯的Twitter认证账号发的。这意味着什么呢?

如果把这个事儿放在国内,基本上类似于马化腾用他的10001 QQ号,在QQ大群里发了一条消息。你还会斩钉截铁的说,这是骗局吗?

周三的时候,陆续出现一些全球最知名的公众人物、高管、名人甚至公司的官微,在Twitter上发布类似的比特币诈骗链接,场面一度极端混乱,媒体开始争相报道,公众开始逐渐沸腾。

下面,我们就通过还原整个事件的来龙去脉,来揪出幕后黑手。

Twitter骗局全梳理:揪出Twitter史诗级被黑的幕后推手

有据可查的首次公开入侵,是在美国东部时间当天下午3点。加密货币交易所Binance(币安)CEO赵长鹏的Twitter账号发了一条消息。

根据币排行网站给出的排名,币安是全球第三大加密货币交易所。

而赵长鹏的推文是这样说的:「我们已经和CryptoForHealth成为伙伴,向社区回馈5000BTC」。

要知道,目前的BTC价格已经突破了9000美元,约等于6.5万人民币。四舍五入就是3个多亿啊!

这条推发出去不到几分钟,还没来得及让整个比特币社区回过味来,美国民主党总统候选人乔-拜登、亚马逊CEO杰夫-贝佐斯、美国总统巴拉克-奥巴马、特斯拉CEO埃隆-马斯克、前纽约市长迈克尔-布隆伯格和投资大亨沃伦-巴菲特的Twitter纷纷发出了类似的消息。黑客甚至没有放过苹果这样的大公司官微。

Tiwtter,沦陷了!

这个神秘的CryptoForHealth,瞬间成为整个事件的焦点。人们不禁疑惑,这个从来没听说过的机构,到底是什么?

起底CryptoForHealth:谁买下了这个域名?

经查询,这个CryptoForHealth很可能只是个皮包公司。

有人在周三当天注册了CryptoForHealth.com 这个域名,经此一役,如今该域名已经被标记为钓鱼网站,无法访问。

不过好在国外互联网是有记忆的,网页快照已经被保存了下来。

该域名的公开注册信息显示,CryptoForHealth.com注册地在加州,注册人是Anthony Elias,使用的电邮地址是mkeyworth5@gmail.com。

然而我们翻遍了整个Google Maps。发现并没有这样的一个地址存在,拨打其电话也无法接通。这里我们不仅要问,在国外注册一个域名这么随便的吗?甚至胡填一个地址就能直接注册……

而当我们搜索Anthony Elias这个名字的时候,更惊人的事情发生了。Google的第一个结果是一位科罗拉多大学医学院的教授,这里,跟Health挂上钩了。紧接着我们点开第一条结果的页面发现,首先映入眼帘的是一个醒目的新冠指南。而CryptoForHealth的首页也提到,这是一个善举,为了应对新冠。细思极恐!

这个网站通过下面的承诺来引诱人们给指定的钱包打BTC:

不仅双倍返还,并且随着打钱的金额越高,还会获得越来越高的额外奖励。这种天上掉满汉全席、看起来很明显的骗局,居然真的有人信了!可能是贪婪让他们失去了理智,又或者是想捐赠比特币交易所。

根据统计,该账户处理了383笔交易,并在7月15日收到了近13个比特币。也就是说,将近12万美元流入了黑客的腰包。由于BTC钱包的匿名性,大概率这些捐款的人只能吃个哑巴亏了。

不仅有网站,他们还注册了个IG账号。

只有一个黑客帝国滤镜的Twitter图标,大写的嘲讽。这个图片是在暗示Twitter的安全防护形同虚设吗?

证据显示Twitter可能受到「古老的」SIM交换诈骗,CEO说:有内鬼!

周三发生的 Twitter 黑客事件不仅是史无前例的,还让人们看到了它惊人的影响力。

到目前为止从 Twitter 上得到的确切消息是,至少有一名 Twitter 员工与这次攻击有关系。

Twitter官方声称,黑客并非通过纯技术手段突破了Twitter的安全防护系统,而是利用了「社会工程学」,通过套路公司内部员工来获取操控权限。

有强烈的迹象表明,这次攻击采用了SIM交换诈骗的方式。根据维基百科介绍,SIM交换诈骗(又称port-out诈骗、SIM拆分,以及simjacking、SIM交换),是一种账户接管诈骗。一般针对双因素认证和两步验证的弱点,其中第二因素是向移动电话发送短信(SMS)或拨打电话。

这种欺诈利用移动电话服务提供商,可以将电话号码无缝移植到包含不同用户身份模块(SIM)的设备上。这种功能通常是在客户丢失或被盗电话,或转换服务到新电话时使用。

SIM交换诈骗日益猖獗,涉及贿赂、黑客或劫持手机,让社交媒体公司的员工提供目标账户的访问权限。而Vice 周三的一份报告,支持了该这种说法。

Vice的记者和参与周三 Twitter 攻击的一些黑客进行了匿名交谈,黑客声称他们贿赂了一名 Twitter 员工,获得了一个内部工具的访问权限,该工具可以对认证过的Twitter 账户进行深度控制。

在Twitter遭受攻击的前几天,在SIM交换社区OGusers上,一些账号正在出售一种服务,号称可以更改与任何Twitter账户绑定的电子邮件。一个名为Chaewon的用户发帖称,只要250美元,你就可以将任何Twitter账号绑定的电子邮件换成你的,成功将该账号据为己有。

SIM交换社区内的人痴迷于劫持所谓的OG社交媒体账号。OG账户是「原始黑帮」的简称,中文一般翻译成老炮儿,通常是那些短账号名(如@B或@joe)。拥有这些OG账户,在SIM卡交换圈子里就会有一定的地位,并被认为有一定的影响力和财富,因为这些账户在地下转卖时往往能卖出数千美元。

事件发生后,有人开始发布 Twitter 内部工具面板的图片,其中显示了@b 账户。

被劫持的 OG Twitter 帐户@b的屏幕截图显示劫持者登录到 Twitter 的内部帐户工具界面。

如果是这样的话,这将是 Twitter 第二次被内部渗透。去年年底,美国司法部(Department of Justice)指控两名 Twitter 员工向间谍提供沙特国民的私人账户信息。

还好这次黑客只是骗了些比特币,假设他们煽动市场、发布虚假政治新闻等,很可能造成社会动荡。

让人细思极恐的几个问题

Twitter 雇员是否与黑客有合作?

如果 Vice 的报告是真的,那么黑客和Twitter内部至少一名员工之间存在某种程度的协作。

有网友认为Twitter 需要披露在给予员工访问权限之前如何对他们进行审查,以及为确保访问权限不会泄露而采取的保护措施,以及如何防止这种情况再次发生。

特朗普总统的账户受到了什么特别保护吗?如果是这样,为什么这些安全措施不适用于所有账户?

也许Twitter 也该弄一个「断路器」,在事情失控时拉闸限电暂停所有服务。

参考链接:

https://www.cnbc.com/2020/07/16/twitter-hack-how-hackers-gained-access-to-accounts.html

本文分享自微信公众号 - 新智元(AI_era),作者:新智元

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-07-17

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 重磅:李飞飞加盟Twitter任独立董事,或将用AI监管疫情虚假信息

    人工智能专家李飞飞博士是斯坦福大学计算机科学系的首任Sequoia讲席教授,也是斯坦福大学HAI(以人为本的AI)研究所的联合主任。她曾任Google AI和深...

    新智元
  • 为了增加 Alphabet 兴趣,Twitter 再收机器学习公司

    【新智元导读】Twitter 昨日宣布收购机器学习公司 Magic Pony,除了增强其图像和视频处理能力,还隐藏着让自己对 Alphabet 更有吸引力的动机...

    新智元
  • 谷歌开源最大手动注释视频数据集和 TensorFlow 模型性能调优工具

    【新智元导读】谷歌再度开放Youtube视频数据集——Youtube边界框(YouTube-BoundingBoxes),含23类共500万手动注释的、紧密贴合...

    新智元
  • Twitter 假消息泛滥有多严重,非得请李飞飞出山?

    内容概要:重磅消息,李飞飞将加入 Twitter,出任独立董事。这是时隔近两年之后,李飞飞再次从学术界回归商业圈。这一次女神的出山,又是为了什么?和 Twitt...

    HyperAI超神经
  • 4个帮你拓展业务的流量获取工具

    [本文作者Sydney Rootman。]

    明明如月
  • Twitter 清理逾 14.3 万款应用 防止剑桥分析式丑闻

    凤凰网科技讯 据《财富》北京时间7月25日报道,Twitter当地时间星期二表示,它在2018年4-6月期间对恶意应用进行了清理,共下架逾14.3万款应用。Tw...

    周俊辉
  • Twitter数据泄漏事件最新进展:黑客或是伪装成同事骗取了员工系统凭证

    “黑客侵入Twitter系统,盗取了包括奥巴马、拜登、巴菲特等名人在内的众多账户内的重要信息数据,使得数小时内就有网友受骗,骗取金额迅速超过10万美金。

    数据猿
  • 如何将Twitter的内容导入到SAP CRM和C4C

    Twitter的内容导入SAP CRM Interaction Center呼叫中心

    Jerry Wang
  • 打破你的适应性偏见

    我告诉他们学好英文很重要,他们当耳旁风;我限定时间让他们学编程,他们天天诉苦;我给他们留作业迫使他们实践数据分析……万幸,研究生课程还没有设置生评教。 :-P

    王树义
  • 使用Python 3发邮件

    老七Linux

扫码关注云+社区

领取腾讯云代金券