El mayor hackeo a Twitter fue un ataque desde dentro de la red social

Todo empezó en Twitter sobre las 22 horas en España y la media tarde en Estados Unidos de este miércoles. Las alarmas sonaron en la compañía californiana cuando los perfiles verificados, con millones de seguidores, de personalidades como Barack Obama (más de 120 millones de seguidores), Joe Biden (casi 7 millones de seguidores), Bill Gates (más de 51 millones de seguidores), Elon Musk (casi 37 millones de seguidores) o Kim Kardashian (más de 65 millones de seguidores) o empresas como Apple o Uber comenzaron a publicar mensajes similares pidiendo donaciones a través de Bitcoins. "Todo el mundo me pide que devuelva, y ahora es el momento. Doblaré todos los pagos enviados a mi dirección bitcoin durante los próximos treinta minutos. Envías 1.000 dólares, te devuelvo 2.000", indicaba el mensaje publicado por la cuenta del creador de Microsoft. Las otras versiones de esta publicación cambiaba el agradecimiento por la pandemia del covid-19 o porque era un buen día.

Minutos después de que este mensaje se empezará a extender por Twitter, la cuenta de soporte técnico de la compañía informaba a través de su perfil en esta red social de que existía un "incidente de seguridad" y que estaban "investigando y tomando medidas para solucionarlo". Su primera decisión fue restringir durante un par de horas la capacidad de las cuentas verificadas de compartir mensajes. "Es posible que no pueda tuitear mientras revisamos y abordamos el incidente", explicaba la plataforma en otro mensaje. Asimismo, también se eliminaron los mensajes y se bloqueó la opción de restablecer contraseñas.

El propio cofundador y actual de Twitter, Jack Dorsey, ha publicado un tuit asegurando que es "un día duro": "Estamos diagnosticando y compartiremos todo lo que podamos cuando tengamos una comprensión más completa de lo que sucedió exactamente".

El FBI también estaría investigando este incidente. Según un comunicado de su oficina en San Francisco que recoge CNN, estas cuentas han sido "comprometidas" para continuar con el "fraude de criptomonedas" y recomiendan no enviar ninguna cantidad de dinero.

Cómo lo hicieron

Una vez atajado el problema, la pregunta en Twitter es clara: ¿cómo consiguieron los hackers acceder simultáneamente a tantas cuentas verificadas? "Utilizamos a un empleado que literalmente hizo todo el trabajo por nosotros", han explicado a Motheboard de Vice hasta cuatro fuentes cercanas al ataque. Este empleado tendría acceso a un panel interno de administración con permisos sobre las cuentas que tuitearon este mensajes. Desde este panel, se habría cambiado el correo electrónico asociado, en algunos de los casos mediante la herramienta de administración. No está claro aún si le pagaron o si le hackearon y utilizaban sus permisos.

Según la imagen de este panel que ha circulado por redes sociales, existen varias etiquetas que describen el estado de cuenta así como otros detalles sobre cuándo fue creada o qué permisos tienen. Estas capturas de pantalla compartidas en Twitter sobre esta herramienta interna han sido eliminadas de la red social por no cumplir con la política de uso de la plataforma, según publica Vice. Un portavoz de la red social aseguró a este medio que están tomando estas medidas "sobre cualquier información privada y personal compartida en tuits".

Tras la publicación de esta información, Twitter aseguró a través de la propia red social que consideran este hackeo como un "ataque coordinado de ingeniería social" dirigido hacia trabajadores "con acceso a sistemas y herramientas internas".

Según informa TechCrunch, se estaría investigando a un pirata informático que se hace llamar Kirk que habría iniciado el ataque vendiendo acceso a cuentas de Twitter personalizadas para a continuación publicar los mensajes pidiendo dinero a través de bitcoins.

"Hackear cuentas populares para publicar mensajes de estafa no es una práctica nueva, como tampoco lo es el timo de recobrar por duplicado una donación. Lo que es curioso en este caso es la escala del ataque y el hecho de que el actor se haya apoderado completamente de las cuentas verificadas", aseguran Dmitry Galov y Dmitry Bestuzhev, expertos en ciberseguridad de Kaspersky sobre este hackeo. 

Qué consiguieron

Twitter informa del acceso a los mensajes privados de 36 de la cuentas afectadas por el hackeo a la plataforma

Ver más

Mientras Twitter continúa investigando qué ha pasado, lo que se sabe por ahora es que el botín del hackeo fue de 100.000 dólares gracias a un total de 376 transacciones, según se puede consultar en la cuenta de Bitcoin utilizada que ya ha sido catalogada como phishing y ha sido bloqueada.

Según recoge la BBC, esta cuenta de Bitcoin estaría asociada a la dirección cryptoforhealth.com registrada por un alias, Anthony Elias. Cryptoforhealth también es el nombre de un usuario de Instagram, creada durante el hackeo, y en cuya descripción del perfil se asegura que "fuimos nosotros" junto con un emoticono de una cara sonriente.

Además del dinero conseguido, la duda ahora es hasta qué punto de las cuentas hackeadas pudieron acceder y si estos tuit podrían ser una distracción para obtener otro tipo de datos. Es decir, si pudieron leer mensajes directos, acceder a otro tipo de información interna de los propios usuarios o si otros perfiles que no mostraron estos mensajes se vieron afectadas. Según Dmitry Galov y Dmitry Bestuzhev de Kaspersky se pueden extraer dos grandes lecciones de este hackeo: ser conscientes de este tipo de estafas y ser cuidadosos "con nuestros activos online" y tener "como mínimo" una doble autenticación.