Twitter hakkeroitiin — so what?

Keskiviikkona ja torstaina (aikavyöhykkeestä riippuen) Twitter ja erityisesti siellä vaikuttava kyberturvaväki heräsivät outoon ilmiöön: useat tunnetut ja verifioidut käyttäjät kuten Elon Musk, Bill Gates, Jeff Bezos, Apple, Barack Obama ja Joe Biden twiittasivat ilmiselviä bitcoin-huijauksia, joissa luvattiin tuplata bitcoin-lompakkoon lähetetyt valuutansiirrot. Tilannekuva oli aluksi todella epäselvä, mutta pian oli ilmeistä että tilejä ei oltu hakkeroitu yksitellen vaan Twitterin infrastruktuuriin oltiin päästy murtautumaan tavalla tai toisella. 

Lopulta selvisi että hyökkäys oli tehty saamalla Twitterin työntekijän admin-paneelin käyttöoikeudet sosiaalisella manipuloinnilla (social engineering). Käyttöoikeudet antoivat mahdollisuuden lähettää twiittejä yksittäisten tilien nimissä. Hyökkääjästä ei juuri tiedetä mitään, mutta eräs sosiaalisen median tili joka on mahdollisesti osallistunut hyökkäykseen sanoi huijattujen rahojen menevän hyväntekeväisyyteen.

Välittömät vaikutukset

Hyökkäyksessä saatiin huijattua ilmeisesti vähintään 100 000 dollarin arvosta bitcoineja. Lisäksi Twitterin käyttäjät kokivat hyökkäyksen torjunnasta johtuvia häiriöitä. Esimerkiksi verifioiduilta käyttäjiltä vietiin mahdollisuus twiitata. Muita välittömiä vaikutuksia ei ole kirjoitushetkellä havaittu.

Muut vaikutukset

Ikävä kyllä emme voi tietää mitä muuta hyökkääjä teki, jos teki mitään. Esimerkiksi käyttäjien yksityisviestit ovat mahdollisesti voineet päätyä hyökkääjän käsiin. Twitter poisti mahdollisuuden ladata oman tilin datan arkistomuodossa, joten jonkinlainen vuoto on saattanut tapahtua — tai sitten kyseessä oli vain varotoimenpide.

Twitteriä on voitu käyttää admin-oikeuksin tarkoituksiin jotka jäävät hämärän peittoon tai paljastuvat vasta myöhemmin. On myös mahdollista, että itse kryptohuijaus oli harjoitus jostain. suuremmasta operaatiosta, tai vain harhautus jonkun muun toimenpiteen salaamiseksi. Toisaalta on mahdollista, että hyökkääjä ei ole tehnyt mitään muuta kuin lähettänyt huijaustwiittejä.

On kuitenkin selvää, että näitä käyttöoikeuksia olisi voitu käyttää aiheuttamaan myös paljon suurempia välittömiä vaikutuksia. On helppo kuvitella miten tilanne mahdollistaa esimerkiksi politiikkaan tai pörssikursseihin vaikuttamisen. Twitter on useiden vaikutusvaltaisten henkilöiden suosima sosiaalisen median alusta, ja myös käytännössä kaikki mediat ovat aktiivisia Twitterissä. Hienostuneempi huijaus olisi erittäin paljon vaarallisempi.

Mitä tämä merkitsee yksilöille ja organisaatioille jotka käyttävät Twitteriä?

Tapaus on yksi suurimmista sosiaalisen median alustan kohtaamista hyökkäyksistä. Hyökkäys alleviivasi sitä, miten tärkeä alusta Twitter on ja miten vaarallisia vastaavat käyttöoikeudet ovat joutuessaan vääriin käsiin. Twitterin on varmasti pohdittava sitä, onko yksittäisillä työntekijöillä tällä hetkellä liian laajat käyttöoikeudet ja toimivatko heidän tietoturvakontrollinsa riittävän hyvin.

Sosiaalisen median alusta, kuten muutkin järjestelmät, on kuitenkin aina riski. Jos et toiminut tällaisen riskin mukaan aiemmin, ala toimimaan niin nyt. Varaudu siis tilanteisiin, joissa tuntemasi tilit ovat hyökkääjän hallussa — tai oma ja organisaatiosi tili joutuvat hyökkääjien käsiin. Mieti tarkkaan onko se, mitä näet sosiaalisessa mediassa totta. Edes verifioidun tilin merkki ei ole todiste siitä että viestin takana on tilin omistaja.

Mieti mitä keskustelet yksityisviestein alustalla kuin alustalla, ja poista esimerkiksi vanhoja keskusteluja. Turvaa tilisi mahdollisimman hyvin olemassaolevien turvallisuusasetusten mukaan. Ole kartalla siitä, mitä sosiaalisen median tileilläsi tapahtuu, etenkin jos niillä on painoarvoa tai käytät niitä luottamuksellisiin keskusteluihin. Siirrä mahdollisuuksien mukaan luottamukselliset keskustelut hyvin salattuun pikaviestisovellukseen. Käy organisaatiossasi läpi virallisten sometilien käyttö ja mieti mitä riskejä nykyisestä käytöstä aiheutuu.

Tämä ei ole suositus lopettaa sosiaalisen median käyttöä. Kyseiset alustat ovat kuitenkin yhtä hakkeroitavissa kuin mikä tahansa muukin, joten tässäkin realistinen kuva riskeistä on avain mahdollisimman turvalliseen toimintaan.

Voit helposti varata ajan keskustellaksesi asiantuntijamme kanssa

Jätä yhteydenottopyyntö ja palaamme sinulle puhelimitse tai sähköpostitse

Kategoria Blogi