Años antes del ataque del 15 de julio en Twitter que permitió a los piratas informáticos comprometer algunas de las cuentas de más alto perfil de la red social para tuitear estafas de Bitcoin, los contratistas de Twitter aparentemente pudieron usar las herramientas internas de Twitter para espiar a algunas celebridades, incluido Beyoncé, según un informe de Bloomberg relatando inquietudes de seguridad de larga data en la compañía.
Las herramientas en cuestión generalmente permiten que ciertos empleados de Twitter hagan cosas como restablecer cuentas o responder a violaciones de contenido, pero aparentemente también podrían usarse para espiar o piratear una cuenta, según Bloomberg . “Los controles fueron tan porosos que en un momento en 2017 y 2018 algunos contratistas crearon una especie de juego al crear consultas falsas de la mesa de ayuda que les permitieron echar un vistazo a las cuentas de celebridades, incluidas las de Beyonce, para rastrear los datos personales de las estrellas, incluidos sus ubicaciones aproximadas obtenidas de las direcciones IP de sus dispositivos ”, informó Bloomberg . Y husmear en las cuentas de los usuarios aparentemente era lo suficientemente desenfrenado como para que el equipo de seguridad a tiempo completo de Twitter en los Estados Unidos "luchara por hacer un seguimiento de las intrusiones", dijo Bloomberg .
Según los informes, algunos de esos contratistas fueron empleados por el proveedor de servicios profesionales Cognizant, que todavía trabaja con Twitter, según Bloomberg . Más de 1.500 empleados y contratistas de tiempo completo tienen acceso para realizar cambios en las cuentas de los usuarios, un portavoz de Twitter transmitió a Bloomberg, quien también dijo que "no tenemos indicios de que los socios con los que trabajamos en el servicio al cliente y la gestión de cuentas hayan jugado un papel". en las infracciones que tuvieron lugar a principios de este mes.
Twitter ya ha compartido que sus propias herramientas se vieron comprometidas en el ataque del 15 de julio como parte de un "ataque coordinado de ingeniería social" que se dirigió a los empleados que tenían acceso a herramientas internas. Los atacantes llamaron al menos a un empleado de Twitter para intentar "obtener información de seguridad que los ayude a acceder a las herramientas internas de soporte al usuario de Twitter", según Bloomberg . Todavía no está claro exactamente cómo los atacantes obtuvieron acceso a las herramientas internas de Twitter: The New York Times informó que una persona involucrada en el ataque tuvo acceso a las herramientas después de ver sus credenciales en un canal interno de la compañía Slack, mientras que Motherboard habló con alguien que dijo le pagaron a un empleado de Twitter por el acceso.
La multa por abusar de las herramientas internas de Twitter puede incluir la terminación del empleo, según informa la compañía a The Verge .
Bloomberg también informó que las preocupaciones sobre el acceso a las cuentas de Twitter se habían compartido con la junta directiva de la compañía "casi anualmente durante un período de 2015 a 2019" y que "las presentaciones de manguera no siempre se presentaron como una amenaza urgente para Twitter seguridad o la privacidad de sus usuarios, según cuatro personas familiarizadas con las presentaciones de la junta ".
130 cuentas fueron atacadas en el ataque del 15 de julio, y para 45 de esas cuentas, los piratas informáticos pudieron restablecer la contraseña, acceder a la cuenta y enviar tweets, según Twitter . La compañía cree que los atacantes accedieron a los mensajes directos de hasta 36 de esas 130 cuentas específicas y que los piratas informáticos intentaron descargar los archivos "Your Twitter Data", que incluyen DM, para hasta 8 cuentas.