案例库 · 软件与 IT · 运营决策 · 2020
17 岁少年打电话给 Twitter 客服台，拿下奥巴马、马斯克和拜登账号
黑客打电话骗过 Twitter 员工，拿到管理员权限，劫持了奥巴马、马斯克和拜登等人的账号，搞起比特币骗局。
Twitter · 2020-07
怎么回事
2020 年 7 月 15 日，以 17 岁的 Graham Ivan Clark 为首的一伙黑客用电话社工攻击（vishing）骗 Twitter 员工交出内部管理工具的访问权。
拿到工具后，他们控制了 130 个高知名度账号，包括 Barack Obama、Elon Musk、Joe Biden、Bill Gates 和 Apple。
被攻陷账号发布比特币骗局，声称把发到指定地址的加密货币翻倍，最终卷走约 11.7 万美元的比特币。
这不是技术漏洞，而是人被拿捏了：黑客靠一通电话和几句花言巧语，直接混进了管理后台。
为什么会这样
- 黑客用电话社工骗到 Twitter 员工，拿到了管理员访问权。
- Twitter 的内部工具权限过大，而认证又扛不住一通像样的电话。
代价130 个账号被劫持；比特币骗局约 11.7 万美元；品牌受损代价高昂
教训
再强的加密也没用，员工要是把钥匙递出去就全白搭。Twitter 这次翻车不是代码被打穿，而是一通电话。管理员权限不能只靠一句听起来很真诚的话。
后来呢
Graham Ivan Clark 被判三年监禁。Twitter 为管理员访问启用了硬件安全密钥，并重做了内部工具。这起事件后来成了平台安全里社工风险的典型案例。
资料来源
发现哪里写错了？告诉我们。
类似的案例
这家公司栽倒的地方，别处有人漂亮地解开过。 第二意见 →
Comments · 0
登录 后就能评论。