員工被騙內部權限!Twitter 名人盜帳號事件為「社交工程」攻擊

俗話說得好,資安最大的漏洞就是「人」。社交工程攻擊用的不是高深的電腦技術,而是用詐騙的方式要到關鍵人物的驗證資訊,進而取得登入權限。
評論
△ Photo Credit: Shutterstock/ TPG Images
評論

推特(Twitter)上週爆發了嚴重的集體盜帳號事件,許多名人及公司官方帳號都被盜用並貼出詐騙比特幣的訊息,受害者包括歐巴馬、比爾・蓋茲、傑夫・貝佐斯、伊隆・馬斯克等名人,還有 Apple 及 Uber 等世界知名品牌的官方推特帳號。

針對此一大規模、高層級的盜帳號事件,推特在週末時發布官方公告,概述截至台灣時間上週六中午(美國時間上週五晚上 8:35)的調查進度。

「由於對此一事件的調查正在進行中,因此我們目前未提供部分細節——尤其是在補救方面,以保護工作的安全性。我們將在將來提供更多可以公佈的詳細訊息,以便相關社群和我們的同業,能從已發生的事情中學習並受益。」

As the investigation of this incident is unfolding, there are some details — particularly around remediation — that we are not providing right now to protect the security of the effort. We will provide more details, where possible in the future, so that the community and our peers may learn and benefit from what happened.  

截至目前,Twitter 認為駭客係透過社交工程的手段(a social engineering scheme),故意針對某些推特的員工經營,取得信任後獲得入侵推特內部系統的高級權限。

「社交工程」(social engineering)是在電腦工程界使用的術語,其實含義跟電腦工程技術無關,指的是使用類似現今流行的網路詐騙的手段,蓄意操縱對方執行特定行為,最後獲得隱私或機密資訊、入侵電腦系統等。 

駭客成功操縱了幾名推特員工後,使用他們的帳號進入 Twitter 內部系統,因此可以破解大多官方帳號都會啟用的兩階段保護(two-factor protections)。

目前已知的是,駭客使用了開發團隊才能使用的內部工具,針對 130 個 Twitter 帳號進行攻擊,而其中 45 個帳號成功被重設密碼,其中又有 8 個帳號甚至用後台功能「您的 Twitter 數據」(Your Twitter Data)成功下載了帳號活動歷史紀錄!針對這 8 個帳號,推特公司會直接與所有者聯絡後續事宜,不過這 8 個帳號沒有一個是經過認證的帳號(即俗稱「藍勾勾」的帳號)。

Twitter 在事發後一發現狀況不對,迅速先鎖定遭駭的帳號們,並撤銷駭客對內部系統的連線,以防止在緊急處理取回被駭帳戶的過程中,攻擊者進一步利用系統再攻擊其他帳號。(編輯推測,時間點應該是在推特官方帳號的這則貼文前後。)

除了這些在幕後的努力之外,也暫時先停止了在推特上貼文及更改密碼的功能,防止攻擊者繼續傳播他們的騙局。

推特再次重申,暫不透露更多執行細節,以保護其有效性,將來在可能的情況下會提供更多技術細節。

那麼,駭客究竟可從成功駭入的 130 個帳號中獲得哪些資料?Twitter 表示,駭客無法透過此次攻擊手法取得過去用過的密碼,因為這些密碼未以純文本形式儲存在伺服器,也無法在這次攻擊中使用的工具中取得;但駭客能夠察看使用者後台的個人資料,也就是說,可取得 email 地址與電話號碼。

其中被改了密碼的 45 個帳號,因為攻擊者已經成功接管了這些帳號,他們可能已經能夠查看其他個人資料。這部分的調查目前仍在進行中。

Twitter 將與檢調單位合作、加強資安系統,並強化員工的反社交工程訓練。

Twitter 團隊正在積極與受到影響的帳號擁有者直接聯絡,也公布了接下來的調查方向。透過這些,推特也開始了長期的行動,將與使用並依賴 Twitter 的人們重新建立信任。 

「我們高度認知到我們對依賴推特的使用者以及對整個社會的責任。我們很尷尬、很失望,最重要的是,我們很抱歉。我們知道,我們必須努力重新獲得您的信任,我們將付出一切能將攻擊者繩之以法的努力。」

We’re acutely aware of our responsibilities to the people who use our service and to society more generally. We’re embarrassed, we’re disappointed, and more than anything, we’re sorry. We know that we must work to regain your trust, and we will support all efforts to bring the perpetrators to justice.

核稿編輯:Mia

延伸閱讀:



網路服務領導者第一線 DYXnet,以優質資料中心及 BMS 方案成企業數位轉型最強助手

第一線作為大中華區領先的電信中立網路服務供應商,提供企業可靠、安全、靈活管理的 IDC 解決方案,包含 IDC 機房服務以及新型態雲服務─Bare Metal Service (BMS),在兼顧效能及成本效益之下,協助企業擁抱新世代商業型態。
評論
photo credit:第一線DYXnet
評論

近年 5G、AIoT、大數據及數位內容等服務蓬勃發展,企業也逐漸走向多雲、混合雲部署,同時因為疫情促使遠距會議、宅經濟及影視產業商機崛起,大幅提升企業對各類數據的應用,為因應雲端化及數位轉型而急速增加的跨國通訊傳輸,企業對於資料的妥善儲存和維護亦面臨極大的挑戰。

第一線作為大中華區領先的電信中立網路服務供應商,提供企業可靠、安全、靈活管理的 IDC(Internet Data Center)解決方案,包含 IDC 機房服務以及新型態雲服務─Bare Metal Service (BMS),在同時兼顧效能及成本效益之下,協助企業全力擁抱新世代商業型態,簡單迅速地佈局海外市場,在後疫情時代下取得先機,創造雙贏。

第一線提供全方位的 IDC 解決方案,解決企業快速拓展需求

第一線提供全方位的 IDC 機房服務,滿足企業對機房環境高坪效、高品質及高穩定度的要求,企業無須煩惱自建機房昂貴的成本及繁瑣的管理業務,即可享有營運商等級的基礎設施、全球串聯的便捷網路,以及安全可靠的設施環境。

第一線的 IDC 機房基礎設施包含強大的跨國際骨幹網路架構、電力備援系統、環境控制及防火保護,以符合國際電信機房的標準。另外 7X24X365 全天候的監控與技術支援服務,讓企業主可在安全的環境中,穩定快速地處理所有對內與對外的需求。

第一線的 IDC 機房基礎設施包含強大的 跨國際骨幹網路架構、電力備援系統、環境控制及防火保護,以符合國際電信機房的標準,提供企業專業的 IDC 服務。(本圖為示意,非第一線機房圖片) / photo credit:第一線DYXnet

第一線曾協助某大型雲端供應商,在 2019 年新加坡宣布暫停建置新資料中心後,透過自身強大的合作夥伴人脈,獨家取得獨立資料中心的樓層,完成建置逾 300 個機櫃的任務。第一線也針對客戶的需求,客製化整體電力、空調系統、機房隔間、門禁系統等,增設維運管理及人力外派,一條龍整合資源,一次購足免除客戶東奔西走的繁雜準備,更能專注於核心業務發展。

輕量彈性新選擇─Bare Metal Service 新型態雲服務

Bare Metal Service (BMS) 提供自媒體、串流平台及遠端應用等新型態商業模式公司,高彈性、高安全性、低營運成本、輕資產,快速部署的雲端資料中心解決方案,企業無須一次性支付大筆費用,以使用量彈性計費,讓每一分預算都能花在刀口上。

由第一線採購部署,縮短客戶採購建置週期,BMS 具有更高的靈活性及成本優勢,也大幅提升資料乘載,能支援大數據、高效能資料庫,更能應對遊戲及財務金融產業,高資料負載需求,讓每個用戶擁有專屬、靈活且高效能的服務。

第一線累積逾20年的服務經驗,為企業客戶提供標準化及客製方案多元選擇,並善用 BMS 的優勢,實現物理性阻隔獨佔使用資源,同時結合全球資料中心足跡與實體資源分隔,提升安全性,滿足複雜的安全與法規需求。

以第一線的電商客戶為例,電商產業淡旺季的資源需求有所不同,傳統的資料中心解決方案無法彈性應變,因此第一線結合紅帽 OpenShift 容器平台技術打造「一體化混合雲解決方案」,除了依照客戶的促銷週期,提供即時標準設備的短期服務及快速擴充,7x24 小時全天候遠端及現場的技術支援,迅速排除困難,在這次的合作中,第一線協助客戶靈活地佈建資源,貼心且可靠的技術團隊也成為客戶最有力的後盾。

選擇第一線 DYXnet,成為產業最前線

數位經濟浪潮加速來襲,身處瞬息萬變的網路世界和高度競爭的商業環境,高效、安全穩定的伺服器、資料庫及網路設備成為不可或缺的要素,有鑑於各國對於資料主權及落地權的要求愈來愈高,企業對於資料中心及跨境連線的重視程度也日益升高。

第一線專業、積極且到位的服務深受大中華地區企業口碑肯定,囊括 ISO 27001、ISO 20000、ISO 9001 認證,採取最嚴格的安全措施,以業界最佳標準作業提供服務。

此外,第一線自 2008 年以來,積極於東南亞佈局網路資料中心,深耕東南亞市場多年,豐富的人脈及合作經驗,也是企業發展新南向業務最為可靠的夥伴。第一線在海內外豐富的合作經驗,能有效提供各類型企業專業的 IDC 解決方案,更推出 BMS 全方位服務,滿足企業成本、安全性、服務品質等多重考量,協助企業在數位經濟下快速發展數位業務。

第一線(DYXnet)憑藉卓越的團隊領導及經營,優良的企業形象,及豐沛的專業素養,榮獲中華民國傑出企業管理人協會頒發的「第二十一屆金峰獎十大傑出企業」。 / photo credit: 中華民國傑出企業管理人協會

第一線 DYXnet