Если вы не хотите указывать свой мобильный номер при регистрации и не нуждаетесь в защите своего аккаунта, возьмите виртуальный номер для Twitter в спец сервисе СИМонлайн.
Команде из Insinia Security удалось опубликовать твиты (с разрешения владельцев аккаунтов, разумеется) без прямого доступа к аккаунтам пользователей. Это было сделано без входа в систему и без необходимости перехвата кода двухфакторной аутентификации.
Уловка не работает против каждой учетной записи Twitter. Уязвимы только некоторые учетные записи с поддержкой SMS, и пока точно неизвестно, сколько пользователей затронуто.
Чтобы внедрить твит, исследователи Insinia сначала должны были отследить телефонные номера, которые были связаны с аккаунтами в Twitter. Из-за многочисленных утечек и взломов данных эту информацию получить гораздо проще, чем вы думаете.
Как только они нашли номер телефона, следующим шагом было заимствовать трюк у спамеров и мошенников. Исследователи ввели номер телефона в спуфинговый инструмент, который заставляет звонки и тексты выглядеть так, как будто они приходят с определенного номера телефона, хотя на самом деле это не так. Эксперты Insinia дали Gizmodo демонстрацию атаки, которая, как сообщается, работала против нескольких учетных записей Twitter.
По словам Гизмодо, это не должно было быть возможным. Twitter опубликовал заявление, в котором заявил, что он «исправил ошибку, из-за которой определенные учетные записи с подключенным номером телефона в Великобритании стали объектом фальсификации SMS», добавив, что «протоколы безопасности учетных записей работают, как и ожидалось».
Отрадно знать, что никакие фактические счета не находятся в опасности. Однако, если хакеры могут просто обойти эти меры, все еще есть некоторые явные дыры, которые необходимо исправить.
