De grootste Twitterhack ter wereld valt terug te brengen op een reeks menselijke fouten. Dat is de conclusie van het interne rapport dat Twitter opgesteld heeft.

Het is in essentie begonnen met een telefoontje. Dat is de verontrustende teneur van het rapport dat Twitter heeft opgesteld over de grote hack die het bedrijf eerder deze maand te verwerken kreeg.

Spearphishing

Enkele personeelsleden op lagere niveaus zouden een onschuldig telefoontje gekregen hebben. Dat klonk zodanig betrouwbaar dat het personeel op verzoek inloggegevens doorgegeven heeft. Die gebruikten de vooralsnog onbekende hackers om de systemen van Twitter te bekijken. Daarna sprongen ze hoger naar de inloggegevens van hogergeplaatste medewerkers.

Het is dus echt zo eenvoudig: spearphishing, of gerichte phishing-aanvallen raken zelfs tot in de getrainde rangen van een van de grootste techbedrijven ter wereld. Phishing, waarbij hackers zich voordoen als medewerkers van een groot of het eigen bedrijf, is een vaak voorkomend fenomeen.

Zeker tijdens de coronacrisis, terwijl iedereen van thuis uit moest werken, steeg het aantal phishingaanvallen aanzienlijk. Het is ook logisch dat die succesvoller waren. Zonder collega’s en zonder de context van die vier kantoormuren vallen de vertrouwde securitymaatregelen ook weg. Daarbij worden hackers ook steeds creatiever.

Het is niet duidelijk of de eerste telefoontjes naar Twitter al tijdens de coronacrisis werden gepleegd. Wel is het duidelijk dat zelfs Twitter nog werk heeft aan het opleiden van de medewerkers.

Grootste hack ooit

Op 15 juli verschenen er op het sociale netwerk plots bizarre boodschappen bij enkele belangrijke accounts. Mensen zoals Elon Musk en Barack Obama tweetten valse berichten over een bitcoindeal. Al snel bleek dat het niet om individuele hacks ging, maar een beveiligingsprobleem bij Twitter zelf. Het duurde vier uur eer Twitter de accounts opnieuw in handen had.

Zowat 400 mensen hadden in de tussentijd een 120.000 dollar overgemaakt naar anonieme bitcoinwallets: de hack legde de cybercriminelen dus geen windeieren.

In totaal raakten 130 accounts gecompromitteerd. Bij 45 van die accounts zijn er berichten verstuurd. Bij een achttal accounts zijn alle data van het acccount gedownload en ingekeken, daar zijn ook persoonlijke berichten bij. Het ging daarbij voornamelijk om niet-geverifieerde accounts, maar ook de Nederlandse politicus Geert Wilders was er het slachtoffer van.