Twitter说利用电话鱼叉式钓鱼攻击以密码欺诈的方式获取网络接入

推特透露了有关本月初遭受的安全漏洞的更多细节，当时许多知名帐户被黑客入侵以传播加密货币骗局-在博客文章中写道，“手机鱼叉式网络钓鱼攻击”被用于针对小型黑客员工人数。

一旦攻击者通过这种社会工程技术成功获取了网络凭据，他们便可以收集有关其内部系统和流程的足够信息，以能够访问帐户支持工具的其他员工为目标，从而使他们能够控制经过验证的帐户，每个Twitter的事件更新。

“成功的攻击要求攻击者同时获得对我们内部网络和特定员工凭据的访问权限，这些凭据授予了他们对我们内部支持工具的访问权限。并非所有最初定位的员工都有权使用帐户管理工具，但攻击者使用其凭据访问我们的内部系统并获取有关我们的流程的信息。然后，这种知识使他们能够定位其他确实有权使用我们的帐户支持工具的员工。”

Twitter补充说：“这次攻击是基于重大的协同努力，企图误导某些员工并利用人的漏洞来获取对我们内部系统的访问权限，” Twitter称此事件为“提醒我们，团队中每个人在保护我们的服务中的重要性。 。”

现在它说，攻击者使用被窃取的凭据来锁定130个Twitter帐户-后来从45个发推;访问DM收件箱中的36;并下载7的Twitter数据(以前报告为8，因此可能一次尝试下载未完成)。此时，Twitter已根据其博客文章直接与所有受影响的帐户持有人联系。

值得注意的是，该公司仍未透露有多少员工或承包商可以使用其帐户支持工具。该数字越大，黑客可能会针对的攻击媒介就越大。

上周路透社报道称，Twitter上有1000多人可以访问，其中包括许多承包商。两名前Twitter员工告诉新闻社，如此广泛的访问权限使该公司很难抵御此类攻击。Twitter拒绝对此报道发表评论。

现在，它的更新承认员工对其工具的访问级别存在“担忧”，但仅提供很少的其他细节-只是说它拥有“遍布全球”的团队来提供客户支持。

它还声称，对帐户管理工具的访问“受到严格限制”，并且“仅出于有效的商业原因而授予”。但是，在后来的博客文章中，Twitter指出，自攻击以来，该工具“显着”地限制了访问工具的能力，这证明了批评：Twitter上的太多人在违规之前被允许访问。

Twitter的帖子还提供了非常有限的详细信息，说明了攻击者用来成功地对其中的一些工人进行社会工程的特定技术，然后可以将不明数量的其他可以使用关键工具的人员作为攻击目标。它说，正在对攻击进行调查，这可能是感觉可以共享多少细节的一个因素。(博客指出，随着过程的继续，它将继续提供“更新”。)

关于在这种情况下什么是手机鱼式网络钓鱼的问题，尚不清楚哪种特定的技术能够成功地渗透Twitter的防御。鱼叉式网络钓鱼通常是指针对个人情况量身定制的社会工程学攻击，其中手机的附加组件与目标定位有关。

我们联系的一位安全评论员提出了许多可能性。

总部位于英国的格雷厄姆·克鲁利(Graham Cluley)表示：“ Twitter对事件的最新更新在细节上仍然令人沮丧。”“手机鱼叉式网络钓鱼”可能意味着多种情况。例如，一种可能性是，目标员工在他们的电话上收到了一条消息，该消息似乎来自Twitter的支持团队，并要求他们打一个电话。拨打该号码可能会将他们带到令人信服的(但是假的)服务台操作员，他们可能会欺骗用户以免其使用凭据。该员工以为他们正在与合法的支持人员交谈，可能比通过电子邮件或网络钓鱼网站在电话上透露的内容更多。”

“如果没有Twitter的更多细节，很难给出明确的建议，但是如果发生类似的事情，那么告诉工人是否需要拨打真实的支持电话-而不是依靠他们在电话上收到的消息-可以降低可能性。被骗的人。”克卢利说。

“同样，对话可以由骗子打电话给员工来发起，也许使用VOIP电话服务并使用呼叫者ID欺骗来冒充合法电话号码。或者，也许他们闯入了Twitter的内部电话系统，并使其看起来像是内部支持电话。我们需要更多细节!”

中国联通：已累计开通5G基站33.2万站 到今年年底预计超过38万个

饿了么现已入驻1000所高校食堂 校园内平均20分钟送达

谷歌在西雅图附近规划新园区 在亚马逊和微软总部所在地扩大触角

我国国家顶级域名“.CN”数量超过2300万个 IPv6规模化部署提速

邬贺铨：截至8月我国IPv6活跃用户达3.65亿 占互联网用户之比达40.32%

苹果、谷歌、英特尔等公司已经加入行业组织美国“6G联盟”

微软今天正式终止Win7嵌入式系统支持 花钱可买三年补丁

OPPO将发布首款概念级应用OPPO CybeReal 针对AR领域