Mercoledì notte, alcuni account verificati di Twitter (quelli col bollino blu, per intenderci) appartenenti a personaggi di spicco, tra cui politici, artisti e imprenditori, sono stati apparentemente hackerati in massa nell'ambito di una truffa per ottenere soldi in bitcoin.

Un'indagine di Joseph Cox, giornalista esperto di sicurezza informatica e cultura digitale, pubblicata su Motherboard, ha rivelato però che l'operazione sarebbe stata portata a termine utilizzando un software interno della compagnia, con la collaborazione di almeno un dipendente di Twitter, di cui non si conosce l'identità.

I profili attaccati, tra cui Elon Musk, Bill Gates, Jeff Bezos, Barack Obama, Joe Biden, Mike Bloomberg, Kanye West, Kim Kardashian, Uber, Apple e tanti altri, hanno twittato un messaggio nel quale veniva offerto il doppio della cifra a chiunque versasse 1.000 dollari a un conto di bitcoin. Il messaggio, salvo alcune variazioni, aveva questo formato: "Oggi mi sento generoso", oppure, "Oggi voglio restituire qualcosa alla società" e proseguiva "Raddoppierò tutti i bitcoin che saranno inviati a questo indirizzo. Se mi mandate 1.000 dollari io ve ne restituirò 2.000. Lo farò solo per i prossimi 30 minuti".

looooool pic.twitter.com/ZeCw0fMJ0h

— Aric Toler (@AricToler) July 15, 2020

Molti hanno cancellato il messaggio dopo essere stati avvisati, ma in alcune occasioni è stato pubblicato nuovamente dai truffatori. Twitter è intervenuto disabilitando l'accesso e la pubblicazione a molti account verificati in attesa di capire cosa stesse accadendo. Poco prima di mezzanotte, ora italiana, ha pubblicato alcuni tweet concatenati sull'accaduto sull'account ufficiale di assistenza: "Siamo a conoscenza di un incidente di sicurezza che colpisce gli account Twitter. Stiamo investigando e adottando misure per risolverlo. Aggiorneremo tutti a breve". Nelle ore successive ha ripristinato l'accesso agli account e ha consigliato alle persone coinvolte di cambiare la password.

We are aware of a security incident impacting accounts on Twitter. We are investigating and taking steps to fix it. We will update everyone shortly.

— Twitter Support (@TwitterSupport) July 15, 2020

Poche ore dopo l'accaduto, il sito d'informazione tecnologica Motherboard, che è entrato in contatto con due persone coinvolte nelle truffa di cui non si conosce l'identità, ha pubblicato l'articolo nel quale Cox ricostruisce l'accaduto. Le fonti hanno fornito al giornalista informazioni e screenshot che dimostrano che non si tratta di un hacking massivo ma di una truffa messa in atto grazie alla collaborazione di un "insider", un dipendente di Twitter che, secondo una delle fonti, è stato pagato per il suo contributo all'operazione. Motherboard ha ricevuto screenshot e informazioni anche da altre quattro fonti vicine o appartenenti alla comunità hacker che confermano questa versione.

I truffatori hanno preso il controllo degli account utilizzando un tool interno di Twitter, secondo le fonti e gli screenshot ottenuti dal giornalista. Non è chiaro se abbiano avuto accesso al programma o se il loro complice dentro la compagnia sia la persona che ha eseguito materialmente il lavoro per loro.

Gli screenshot pubblicati dal sito americano mostrano il pannello di controllo del programma utilizzato e l'account di Binance (uno degli account compromessi).

Oltre a pubblicare i tweet della truffa bitcoin, in alcuni casi il tool è stato usato anche per modificare l'indirizzo email associato agli account o per cambiare la proprietà del nome ("handle") del profilo.

Dopo la pubblicazione dell'articolo di Motherboard, Twitter ha aggiornato gli utenti con nuovi tweet sull'accaduto: "Abbiamo rilevato quello che crediamo essere un attacco coordinato di ingegneria sociale da parte di persone che hanno preso di mira alcuni dei nostri dipendenti con accesso a sistemi e tool interni". La compagnia sta portando avanti un'investigazione interna.

We detected what we believe to be a coordinated social engineering attack by people who successfully targeted some of our employees with access to internal systems and tools.

— Twitter Support (@TwitterSupport) July 16, 2020

Il fatto che un impiegato della compagnia possa, di sua volontà o sotto ricatto, operare in questo modo, causando un danno ad altre persone o imprese (oltre che all'azienda per cui lavora) non è un problema nuovo. Come spiega Motherboard, infatti, le piattaforme tecnologiche si sono trovate più volte in una situazione simile. Nel 2017 un dipendente di Twitter ha cancellato l'account del presidente americano Donald Trump, che è stato velocemente ripristinato. In un'altra occasione, due dipendenti di Twitter hanno utilizzato il loro accesso interno per spiare alcuni utenti per conto del regime saudita, secondo il dipartimento di giustizia americano. Un dipendente di Facebook è stato licenziato nel 2018 per aver usato il proprio accesso privilegiato ai dati degli utenti per molestare e spiare delle donne. Un anno fa, è stato scoperto che i dipendenti di Snapchat usano un tool analogo che offre accesso totale ai dati e ai contenuti degli utenti, sollevando preoccupazioni rispetto alla privacy dell'app, apprezzata dalla community soprattutto per la possibilità di mandare video, foto e messaggi privati che si autodistruggono nel giro di pochi secondi. Persino MySpace, ai tempi in cui era il social network più utilizzato al mondo, si serviva di un tool interno chiamato "Overlord" che veniva utilizzato dai dipendenti per spiare gli utenti, leggere i loro messaggi privati o conoscere le loro password.

Immagine via Motherboard