Niebezpiecznik

Michał Boni, były minister cyfryzacji, informuje, że został zhackowany na Twitterze i że widoczne na jego profilu retiwty zdjęć wegańskiej modelki nie są jego. Nie ma powodów, aby mu nie wierzyć, ale fakt, że niechciane posty dalej są widoczne na profilu osoby zawodowo związanej z cyfryzacją, to jednak smutny widok.

Oto jak wygląda profil Pana Ministra:

Oto nasza hipoteza, dlaczego retwity wciąż nie zostały przez Michała Boniego usunięte, chociaż ma on dostęp do swojego konta. Otóż… po najechaniu na właściwości posta, nie ma opcji “Usuń”:

Aby usunąć retwit czyjegoś posta, trzeba jeszcze raz nacisnąć na przycisk retwitu (takie to właśnie intuicyjne…). Dopiero wtedy widać opcję “cofnięcia” retwitu. Nie ma za co, Panie Ministrze :)

Jak zhackowano konto ministra?

W zasadzie są tylko 3 opcje przejęcia czyjegoś konta na Twitterze:e

1. Phishing, czyli wyłudzenie hasła. Ale przed tym w 100% skutecznie broni korzystanie z klucza U2F, jako drugiego składnika logowania. I to przecież niemożliwe, aby minister cyfryzacji z klucza U2F nie korzystał, zwłaszcza po tym, co działo się wokół ministra Dworczyka, prawda? PRAWDA?!
2. Atak na konto pracownika supportu Twittera lub jego bunt. Pracownicy Twittera mogą przejmować kontrolę nad kontami użytkowników i to już się zdarzało. Ale z całym szacunkiem do Pana Ministra, w tym scenariusz atakiem padają najpopularniejsi użytkownicy Twittera. Tę opcję uznajemy więc za najmniej prawdopodobną.
3. Malware, czyli infekcja złośliwym oprogramowaniem. Obstawiamy, że niedawno Pan Minister albo doinstalował do przeglądarki internetowej jakieś rozszerzenie (plugin, dodatek), które miało uprawnienia do odczytywania ciastek z domeny Twittera albo zalogował się Twitterem do jakiejś “przydatnej” aplikacji korzystającej z API Twittera, np. takiej, w której można ustawić kolejkę postów do publikacji na cały tydzień lub takiej która informuje Cię jakim zwierzęciem jesteś po analizie Twoich historycznych postów. Nie ma znaczenia.
    
   W obu przypadkach ktoś inny ma możliwość kontrolowania konta Pana Ministra i może retwittować / postować co zechce, równocześnie z Panem Ministrem. Więc nawet zmiana hasła tego nie zmieni. A zmiany hasła Pan Minister już próbował.

Jest też szansa, że Pan Minister udostępnił (oddelegował, w nomenklaturze Twittera) dostęp do swojego konta jakiemuś asystentowi, a ataki opisane w punkcie 1 lub 3 dotyczyły właśnie tego asystenta.

Albo, że wiadomość o tym, że to nie jego zdjęcia, została napisana przez atakującego [tin-foil-hat.gif] ;)

Zhackowali mi konto na Twitterze — co robić, jak żyć?

Otwórz tryb incognito przeglądarki (upewniając się, że nie jest aktywny żaden z dodatków, który do przeglądarki zainstalowałeś) i zaloguj się na Twittera. Następnie, jeśli masz dostęp do swojego konta:

• W ustawieniach, w sekcji “Security and Account Access” wejdź w “Apps and sessions” i usuń wszystkie aplikacje oraz usuń wszystkie sesje. Przejrzyj też “Connected accounts” oraz sekcję “Delegate“, dzięki której także możliwe jest przekazanie kontroli nad Twoim kontem innym użytkownikom — odbierz im uprawnienia w sekcji “Members you’ve delegated“.
• Prewencyjnie zmień hasło do konta, na wypadek gdybyś jednak by ofiarą phishingu. I jeśli jeszcze nie zacząłeś, to zacznij w końcu korzystać z klucza U2F, naprawdę jedynej opcji, która sprawi, że ataki phishingowe na Twoje konto na Twitterze się nie udadzą. I to nawet jeśli kiedyś na lewej stronie podasz hasło i użyjesz swojego klucza U2F. Tak, to naprawdę jest tak dobre zabezpieczenie! Więcej o kluczu U2F znajdziesz w naszym filmie:

Klucz U2F to świetny prezent na święta dla najbliższych. Staną się odporni na przejmowanie kont przez ataki phishingowe, dzięki czemu będziesz mieć od nich mniej telefonów z prośbą o pomoc ;) Z kodem CHOINKA możesz go dostać taniej w naszym sklepie. Ten najtańszy w zupełności Ci wystarczy — tu link bezpośrednio do koszyka.

A, no i jest jeszcze punkt trzeci. Pamiętaj aby po posprzątaniu przejrzeć swój profil i usunąć z niego obce posty oraz retwity. Jak to zrobić pokazaliśmy na początku posta. Lajki też:

Jak widzicie, posprzątać po ataku nie jest łatwo. Nie oczekujemy, żeby ministrowie to potrafili, bo — bądźmy szczerzy, nawet ludzie z branży IT mają z tym problem. Dziwi nas jednak, że osoby w randze ministra cyfryzacji nie mają doradców, którzy byliby w stanie im pomóc w tych kwestiach szybciej niż przez 10 godzin. W chwili publikowania tego posta, mija 11 godzina, a retwity postów weganki, których Pan Minister nie wykonał, dalej wiszą mu na profilu…

PS. Jak macie konto na Twitterze, to profil Pana Boniego warto obserwować. Regularnie wrzuca ciekawe informacje dotyczące danych osobowych. I dwie roznegliżowane weganki naszej opinii nie zmienią! :)