Continúan llegando las noticias acerca del ataque del que fue protagonista Twitter el pasado miércoles. Brevemente, en apenas unas horas varias cuentas publicaron un mensaje similar solicitando que los usuarios depositen bitcoins para que ellos les devolviesen el dinero duplicado, tan solo porque se habían levantado generosos. Por supuesto, se trataba de una estafa. Lo llamativo del caso fue que esto sucedió en múltiples usuarios y de renombre (muchos de ellos verificados) como Bill Gates, Barack Obama, Elon Musk, Jeff Bezos, Uber, Apple y Coinbase, entre otros.
Desde ese momento, la red social del pajarito ha publicado varios comunicados a través de su cuenta Twitter Support (y su espejo en español, Twitter Seguro), que están compilados acá. Gracias a esto, ya sabemos que el incidente de seguridad se produjo mediante ingeniería social y fue dirigido a algunos de sus empleados con acceso a sistemas y herramientas internas. Ahora confirmaron que «aproximadamente 130 cuentas fueron hackeadas de alguna manera como parte del incidente. Los hackers obtuvieron control de un subconjunto de estas cuentas y tuitearon desde las mismas». De todas formas, por el momento no tienen evidencia de que los atacantes hayan accedido a contraseñas.
Asimismo, indicaron que se encuentran trabajando con los usuarios afectados y que continuarán evaluando si datos no públicos relacionados con estas cuentas se vieron comprometidos. Esto tomará varios días y, en caso de que esta última parte se confirme, aseguraron que proporcionarán actualizaciones. Por el tiempo que dure la investigación, estas personas tampoco podrán descargar sus datos de Twitter.
Pero estas no son las únicas novedades que involucran a la compañía de Jack Dorsey. El ataque empieza a mostrar sus consecuencias. Por un lado, Google dejará de mostrar el carrousel de Twitter en las búsquedas. Según informa el sitio web Android Police, esta medida es temporal, aunque indicaron que «lo restaurarán luego de hacer una revisión cuidadosa». Por otra parte, el FBI comenzará una investigación acerca de lo sucedido, que hasta el momento consideran como un fraude con criptomonedas.
Twitter mismo también tuvo que modificar sus planes. Ayer iban a publicar una nueva API pero demoraron el lanzamiento ya que «debido al incidente de seguridad, la fecha ya no tenía más sentido ni se sentía correcta». «No tenemos ninguna evidencia que vincule ambas cosas pero decidimos mover su publicación a un momento más apropiado», aclararon.
Ahora bien ¿el ataque se trató solo de lo que vimos o los mensajes con las estafas fueron apenas una parte? A través de la agencia de noticias Reuters nos enteramos de que, días antes del incidente, apareció un aviso en un sitio donde se venden cuentas de redes sociales prometiendo revelar el correo electrónico vinculado a una cuenta de Twitter por la módica suma de US$250; mientras que por US$2500 el comprador podría obtener la cuenta en su totalidad. Aun restan conocerse muchos detalles acerca de lo ocurrido pero probablemente esto se convierta en un dolor de cabeza a mediano y largo plazo para la empresa.
[ACTUALIZACIÓN 1] Twitter publicó un comunicado con más detalles acerca de la investigación que aun está en desarrollo. Además de hacer una crónica de los hechos desde que comenzó el ataque, proporcionaron algo más de información, que será resumida a continuación.
Lo más importante es que aseguraron que «para la mayor parte de la gente, creemos que los atacantes no pudieron ver su información privada». En cuanto a las 130 cuentas vulneradas, sin embargo, la realidad es un poco diferente y esto es lo que saben hasta ahora:
- Los atacantes no pudieron ver las contraseñas previas de las cuentas, ya que no están guardadas en texto plano ni se accede a ellas mediante las herramientas usadas en el incidente.
- Los atacantes pudieron ver la información personal -incluyendo correos electrónicos y números de teléfono- que se muestra a algunos usuarios de nuestras herramientas de soporte interno.
- En aquellos casos donde los atacantes tomaron el control del perfil, es posible que también hayan accedido a información adicional (este punto sigue en investigación).
Ayer supimos que las cuentas comprometidas fueron 130, al tiempo que hoy aclararon que en 45 de ellas fueron capaces de restablecer la contraseña, iniciar sesión y enviar tweets. Además, creen que es posible que hayan intentado vender algunos nombres de usuario (algo que comentamos más arriba). Por otra parte, en ocho de las 45 cuentas -ninguna de ellas verificada- los atacantes fueron un paso más allá y descargaron la información del perfil, a través de la Herramienta de Datos de Twitter.
Somos conscientes de nuestra responsabilidad con los usuarios y con la sociedad en general. Estamos avergonzados, decepcionados y, más que nada, apenados. Sabemos que deberemos trabajar para recuperar su confianza y apoyaremos todos los esfuerzos para llevar a los atacantes a la justicia.
Comunicado de Twitter
La compañía aseguró en varias oportunidades que la investigación acerca de lo sucedido sigue en curso y que informarán las novedades a través de la cuenta Twitter Support. También especificaron que, por prevención, no brindarán detalles de las medidas internas adoptadas para reforzar la seguridad en un futuro cercano. En cuanto a los usuarios afectados, están trabajando directamente con ellos para que puedan recuperar todas las funciones de sus cuentas a la brevedad. «Esperamos que nuestra forma transparente de comunicarnos y los pasos que dimos para resguardarnos de ataques futuros sea el inicio para corregir las cosas», concluyeron.
[ACTUALIZACIÓN 2] La empresa complementó su informe indicando que creen que en 36 de las 130 cuentas comprometidas los atacantes pudieron acceder a los mensajes privados (esto incluye a un político electo en los Países Bajos).
¡Hola! ¿Tenés un momentito más?
Antes de irte, quería contarte que, si lo que acabás de leer te pareció interesante o te sirvió de algo, podés colaborar con Otrawebdetecno invitándome un cafecito. El aporte mínimo es de $50 y es por única vez (no es una suscripción). Los contenidos del blog son y seguirán siendo gratuitos pero tu aporte irá a parar a la alcancía que lo mantiene online. Si no podés o no tenés ganas, ¡no pasa nada! Con solo compartir me ayudás un montón. Gracias 🙂
Otrawebdetecno 