Fredag kveld norsk tid ble det sendt ut en rekke underlige meldinger med rasistisk og antisemittisk innhold fra Twitter-kontoen til selskapets toppsjef Jack Dorsey. For de 4,2 millioner følgerne til en av Silicon Valleys mest profilerte navn var det åpenbart at kontoen var blitt hacket.
Kort tid etter hendelsen sendte Twitters sikkerhetsavdeling @TwitterComms ut en tweet hvor det ble annonsert at kontoen til selskapets toppsjef var blitt utsatt for en uønsket hendelse:
«Vi er klar over at @jack er blitt kompromittert og undersøker hva som har skejdd» het det i den offisielle meldingen. Noen timer senere meldte Twitter at mobilkapring var årsaken: «Telefonnummeret som var knyttet til kontoen ble kompromittert på grunn av et sikkerhets-forbiseende fra mobilleverandørens side. Dette gjorde det mulig for en uautorisert person å skrive og sende ut tweets gjennom sms fra mobilnummeret» heter det i kunngjøringen fra Twitters sikkerhetsavdeling. Twitter har så langt ikke opplyst navnet til teleselskapet som knyttes til hendelsen.
Slik skjedde angrepet
For å sende ut meldinger på Twitter kan brukerne, i tillegg til å logge seg inn på plattformen på vanlig måte, benytte seg av sms som utsendingsmetode. Forutsetningen er at ens Twitter-konto er knyttet til et mobilnummer.
Som de fleste andre sosiale medier-plattformer, har også Twitter oppfordret sine brukere til å knytte mobilnummeret sitt til kontoen som et ekstra sikkerhetslag. Etter at mobilkapring er blitt et utbredt fenomen over hele verden det siste året, har dette åpnet et lite eksponert vindu for misbruk, gjennom overtagelse av sosiale medier-kontoene til intetanende ofre: For Twitter har i et snart et tiår tilbudt sine brukere muligheten til å sende meldinger gjennom sms. Hvilket nummer man må benytte seg av varierer fra land til land. Hvis man fra et amerikansk nummer tilknyttet en Twitter-konto legger til tallene 40404, kommer meldingen direkte ut på Twitter.
Det betyr at dersom en angriper kan overta offerets mobilnummer gjennom mobilkapring, er det blant annet fullt mulig å sende ut meldinger direkte på Twitter gjennom sms-plattformen. Det er dette den eller de som hacket Jack Dorsey var i stand til.
Endrer lovverket i Norge
Antallet tilfeller av mobilkapring har økt kraftig det siste året, som DN tidligere har rapportert om i en større dokumenter og en serie artikler. DN demonstrerte hvor lett det er å overta andre personers mobilnummer ved å utgi seg for å være dem, blant annet ved å kun fremvise et falskt visittkort.
Så enkelt kapret vi Sophie Elises mobilnummer
Denne uken kunngjorde digitaliseringsminister Nikolai Astrup at han vil tvinge norske mobilselskaper til å innføre strengere identifiseringskrav ved opprettelse, endring eller oppsigelse av mobilabonnementer for å hindre mobilkapring.
Digitaliseringsminister Nikolai Astrup strammer inn overfor mobilselskapene: – Det holder ikke med visittkort lenger
– Med tanke på hvor mange tjenester som er koblet opp mot telefonnummeret, utgjør det en betydelig sårbarhet. Det betyr at vi har sett behovet for å stramme inn regelverket, sa Astrup til DN denne uken. Endringen i lovverket som nå sendes ut på høring, innebærer at norske mobilbrukere må ebruke eID, som for eksempel BankID, MinID eller Buypass, eller egitimere seg med pass, førerkort eller annen godkjent legitimasjon når de møter opp fysisk.(Vilkår)Copyright Dagens Næringsliv AS og/eller våre leverandører. Vi vil gjerne at du deler våre saker ved bruk av lenke, som leder direkte til våre sider. Kopiering eller annen form for bruk av hele eller deler av innholdet, kan kun skje etter skriftlig tillatelse eller som tillatt ved lov. For ytterligere vilkår se her.