Вы случайно не PHP Middle?

Twitter: хакеры взломали аккаунты Маска, Гейтса и других благодаря доступу к внутренним инструментам сотрудников Материал редакции

Сейчас компания выясняет, помогал ли хакерам её сотрудник.

В закладки
Слушать

Twitter опубликовала предварительную информацию о взломе верифицированных аккаунтов, который произошёл 15 июля 2020 года.

В компании убеждены, что взломщики использовали методы социальной инженерии, атаковав некоторых сотрудников Twitter с доступом к внутренним системам и инструментам.

We detected what we believe to be a coordinated social engineering attack by people who successfully targeted some of our employees with access to internal systems and tools.

Эти инструменты они использовали, чтобы получить контроль над аккаунтами популярных пользователей и публиковать твиты от их имени. Компания проверяет, как ещё взломщики могли навредить и какой информацией они завладели.

Twitter удалила все твиты, размещённые мошенниками от имени Илона Маска, Билла Гейтса, Джеффа Безоса и других известных людей. В ходе расследования компания также уменьшила число доступных функций у скомпрометированных аккаунтов, чтобы убедиться в безопасности их использования.

Соцсеть также ограничила доступ к своим внутренним инструментам и пообещала дать больше подробностей, когда закончит расследование.

Один из сотрудников Twitter мог сотрудничать с хакерами, пишет Motherboard со ссылкой на источники и скриншоты внутреннего инструмента соцсети. В компании изданию сообщили, что сейчас выясняют, кто взломал учётные записи: сотрудник или хакеры, с его помощью.

15 июля 2020 года неизвестные получили доступ к большой группе верифицированных аккаунтов в Twitter и от имени известных пользователей опубликовали сообщения о раздаче биткоинов. Их обещали тем, кто пришлёт криптовалюту на указанные в твитах кошельки.

На один анонимный биткоин-кошелёк было перечислено свыше $120 тысяч, и больше половины денег уже переведены на другие счета, пишет Bloomberg.

#новость #twitter

{ "author_name": "Галина Мубаракшина", "author_type": "editor", "tags": ["\u043d\u043e\u0432\u043e\u0441\u0442\u044c","\u043d\u043e\u0432\u043e\u0441\u0442\u0438","twitter"], "comments": 55, "likes": 20, "favorites": 7, "is_advertisement": false, "subsite_label": "social", "id": 142519, "is_wide": false, "is_ugc": false, "date": "Thu, 16 Jul 2020 08:21:27 +0300", "is_special": false }
Трибуна
PDF Remote — Простой инструмент для презентаций
Привет, сегодня хочу рассказать про наш новый продукт для презентаций.
Объявление на vc.ru
0
55 комментариев
Популярные
По порядку
Написать комментарий...
37

Взломать такие аккаунты чтоб заработать 120 тыс. Wtf...
Я думал так делают чтоб устроить обвал рынка, заработать миллионы на этом. 

Ответить
6

2-3 года назад могло прокатить, а сейчас у доверчивых денег нет, а недоверчивые не идиоты вестись на такой банальный развод

Ответить
8

Вы просто завидуете тем, кто перевел на этот биткойн-кошелек деньги и пролучил обратно вдвое больше. Это же и есть инвестиции в духе VC, разве нет?

Ответить
2

Нет, я просто как-то раз втрое больше получил, не хочу палить тему)))

Ответить
5
Ответить
0

Что за фильм, подскажите, пожалуйста

Ответить
4

Револьвер. Эпичное кино от Гая Ричи

Ответить
0

Вот это ты фантазёр.

Ответить
2

А, ну сорян, не 2-3 года, а 4-5 лет назад.

Если тогда всякие ноунейм гивавеи и откровенные фейки собирали сотни тыщ в битках, то Тесле после этого твита Маска хомяки бы устроили принудительное ICO на пару лярдов.

Короч, у ребят проблемы с таймингом. Могли хотя бы не сразу все аккаунты использовать, чтоб не так заметен фейк был.

Ответить
1

Просто взломали одни (умные), а купили этот взлом - другие (не очень умные)

Ответить
0

Да ладно, "лох не мамонт" всегда актуально.

Ответить
3

Для этого достаточно было ломануть аккаунт Трампа, объявить третью мировую/отказ платить по гос. облигациям/новые налоги и потом получить десятки миллиардов на бирже.

Ответить
1

Там уже 8 миллионов

Ответить
0

Если правда, то беру свои слова про 4-5 лет назад обратно. Хомяк не мамонт, оказывается.

Ответить
0

А потом получить штрафы на сотни миллионов за манипуляции рынком и десяитоки лет в тюрьме за мошенничество, взлом аккаунтов и манипуляцию рынком.

Ответить
15

На один анонимный биткоин-кошелёк было перечислено свыше $120 тысяч, и больше половины денег уже переведены на другие счета

Так а вдруг они начали обратно х2 возвращать? А манагеры из твиттера не поверили, и биткоины не отправили, их теперь жаба душит, и решили все спихнуть на рядового сотрудника.

Ответить
12

successfully targeted some of our employees with access to internal systems and tools

В чём смысл пароля и 2FA если у сотрудников есть прямой доступ? 

Ответить
5

А как это по-вашему это работает? Сидит дракон, который охраняет сокровищницу с твитами и разрешает сотрудникам вынести немного, если они пароль назовут?

У кого-то всегда есть доступ.

Ответить
8

Ну ващет это не так работает, у нормальных парней.
Я в своё время админил на кое-каком ресурсе и обычно даже sysop не имеет возможности постить от имени юзера.

Зайти в настройки аккаунта да, редактировать (с меткой о редакции админа) да, удалять посты да, но не постить.
Если твиттер сделал себе такую возможность, то это конечно печально.

Ответить
3

У кого то в любом случае будет возможность сделать вставку в бд

Ответить
1

Насколько я понимаю, они логинись для этого под юзером, предварительно отключая 2FA и меняя e-mail. То есть постили они всё-таки не из админки.

Ответить
0

Вся информация структурированно хранится в базе данных (к примеру, в виде таблиц). Поверх базы данных пишутся различные админки и прочие интерфейсы (в том числе и для пользователей).

Пускай есть две таблицы: пользователей и твитов. Чтобы сделать пост от имени кого-то, нужно найти в таблице пользователей искомый id и вставить в таблицу твитов текст с найденным id. В интерфейсе пользователя отобразится новое сообщение.

Пароль нужен для того, чтобы система узнала от чьего имени заносить твиты в базу.

Иначе только в банковских системах, где персональные данные и транзакции должны храниться в разных контурах и всячески анонимизироваться (но даже так они умудряются все проебать).

Ответить
0

Ну какая БД, год бы там ковырялись.
Твиттер же написал что произошло: некто получил доступ  в аккаунт сотрудника, у которого в свою очередь был (god mode) доступ к остальным аккаунтам, и из этого аккаунта он постил твиты от их имени. И после удаления снова постил.

Поэтому и печально что они оказывается сделали себе возможность постить от имени аккаунтов. И что у неопределённой части сотрудников был доступ в этот режим.

После такого, любые заявления типа “We highly value your privacy” рассыпаются в пыль.

Ответить
0

Ну, god mode так god mode.

Ответить
0

Ну одно дело, когда это очень узкая группа лиц. Скажем, не один дракон, а пять. А другое дело, когда весь IT отдел может получить такие данные.

Ответить
0

Я встаю на компьютер жопорукой секретарши Людочки, к которой как к себе домой ходит администратор Евгений, чтобы переустановить ей косынку. Евгений логинится у нее на компе, поэтому я могу забрать его токен и с этим токеном пойти на контроллер домена,на котором хранятся токены уже всех пользователей. Отыскав токен администратора бд, я иду на сервер и делаю нужную вставку. Как-то так)

Ответить
0

Проблема в том, что этого кого-то можно развести при помощи социальной инженерии.

Ответить
1

У кого есть такого рода доступ, обычно на социальную инженерию не ведутся. Как оказалось, ведутся, но это как минимум странно.

Ответить
1

Сейчас развод уже далеко не ограничивается "мама, вышли денег на телефон". Слышали историю, как злоумышленники позвонили в какую-то немецкую компанию и голосом деректора, синтезированного нейронной сетью, затребовали перевод денег?))

Ответить
–1

Слышал. Но мне казалось, что сотрудники с подобными уровнями доступа должны быть выдрочены на тему ИБ вдоль и поперек.

Ответить
0

Если зайти издалека, то способность анализировать противоречит человеческой эволюции. Выживала та особь, которая слышала шорох в кустах и съебывала, а не пыталась домыслить лев там засел или куропатка.

Можно изучить определенные шаблоны и запрограммировать человека на их распознавание, но с противоположной стороны сидят очень творческие люди и в некотором смысле психологи.

А если вернуться к твитеру, то не стоит вообще всерьез воспринимать их пресс-релиз. Это наиболее приемлемое для них объяснение проблемы. Система безопасности ни при чем, есть виновный, который найден, а инцидент - всего лишь случайность.

Ответить
7

Интересно, какие методы соц.инженерии в 2020 работают? Ну не купились же они на звонок менеджера банка с просьбой сообщить пароль от учетки или письмо "привет, давно не виделись, твои фотки: photos.exe"

Ответить
0

Возможно хакеры нашли уязвимость 0 дня для какого-то сервиса и получили доступ, вариантов миллион..

Но реализация, конечно так себе, при таких возможностях..или мы чего-то не заметили.

Ответить
3

Твиттер это "она"? :thinking:

Ответить
7

Компания же

Ответить
5

Тогда Солнце это тоже она, потому что звезда

Ответить
2

Ну солнце как ремесло (оно) и профессия (она).
А вообще автору следовало написать “Компания Твиттер опубликовала…”
Настю интуитивно покоробило

Ответить
0

Солнце еще и "светило"

Ответить
0

Поэтому в русском языке род слова определяется по его окончанию, а не самоопределению в реальном мире

Ответить
2

Выкусите блогер-ки

Ответить
0

А давайте без вот этой вот гендерной бинарности. 22 век, все же

Ответить
1

Ну это у вас тут 22-ой, а у нас тут феминитивы ввели недавно!1

Ответить
0

а Фейсбук? "Фейсбук запустила новый сервис"? 
Твиттер - это ещё и сервис, сайт.

Ответить
4

Твиттер это "она"? :thinking:

Там 80% пользователей сами не знают мальчик они или девочка.

Ответить
3

Наверное они во время пандемии регались на бесплатный pronhub через Твитер, вот и взломали

Ответить
2

Хакер одел жилетку проинспектировать серверную) Так вижу

Ответить
0

Для таких клиентов пора бы сделать отдельный от всего мира супер защищённый сервер в бункере с отдельными сотрудниками в комплекте

Ответить
0

Твиттер сейчас создаст свой Олимп для акков с галочкой и начнет брать плату с них "за повышенную безопасность" PROFIT

Ответить
–1

Т.е. инструменты сотрудников включают постинг сообщений от пользователей? Любой сотрудник от имени Трампа может запостить любую чушь? По-моему, печатники принесли в интернет свои уродливые рожи - этих редакторов и корректоров, без которых авторов не выпустят в печать. Интернет-компании стали слишком близки и навязчивы пользователям, набирают сотрудников, которые следят за камерами, роются в почтовых ящиках и редактируют посты. Разве не от этого люди бежали в интернет? Вот уж действительно, технологии ничто, люди - всё. Даже в цифровую технологию насрать могут.

Ответить
0

Ща буит теория заговора:
Твиттер самостоятельно затеял эту хрень, чтобы отучить Трампа постить )
(Шютко)

Ответить
0

"Среди взломанных аккаунтов оказались профили Apple, Uber, Илона Маска, Канье Уэста, Билла Гейтса, Джеффа Безоса, Барака Обамы, Джо Байдена, а также представителей бирж криптовалюты."

Офигеть масштабы взлома, могут и биткойн после этого зарегулировать.

Ответить

Комментарии