O Twitter Foi Invadido Novamente, Desta Vez Com a Ajuda do Hotmail

Quando um hacker, chamando a si mesmo de Hacker Croll, invadiu a conta de e-mail de um assistente administrativo do Twitter, ele usou isso para coletar informações que lhe permitiram acessar a conta de um empregado do Google Apps. As pessoas que trabalham no Twitter utilizam a versão corporativa do Google Apps para compartilhar documentos e outras informações dentro da empresa.

Aparentemente, o hacker utilizou um recurso do Hotmail da Microsoft, para sequestrar a conta de e-mail de trabalho desse empregado. O site que publicou a história na semana passada, a TechCrunch, relatou que o hacker se aproveitou da prática de senhas pobres, do recurso de conta inativa no Hotmail e de informações pessoais na Internet, a fim de roubar centenas de documentos do Twitter. A TechCrunch conseguiu persuadir o Hacker Croll a revelar os detalhes do ataque.

Como foi que esse processo começou?

Ele começou com a conta pessoal no Gmail do assistente administrativo que trabalhava no Twitter.Tal como acontece com muitos outros aplicativos da rede, a Edição Pesssoal do Gmail tem uma função de recuperação de senha, que apresenta ao usuário uma série de desafios, a fim de comprovar a sua identidade, para que essa senha possa ser recuperada. Ao solicitar a recuperação da senha, o Hacker Croll teve sorte, pois o Gmail informou a ele que um e-mail tinha sido enviado para a conta secundária do usuário. Através de algumas técnicas de adivinhação bastante simples, o Hacker Croll deduziu que essa conta secundária de e-mail era hospedada pelo Hotmail.com.

No Hotmail, o Hacker Croll, mais uma vez, tentou o procedimento de recuperação de senha, realizando uma estimativa educada sobre qual poderia ser o o nome do usuário, tendo por base a quantidade de pesquisas que ele tinha feito sobre esse empregado e outros que trabalham no Twitter, pescando na Internet, para fisgar as respostas prováveis. Foi nesse ponto, que o Hacker Croll descobriu que a conta especificada como secundária para o Gmail e hospedada pelo Hotmail, estava inativa. Isso é devido a uma política do Hotmail, na qual as contas velhas e inativas, são removidas e recicladas.

Depois de registrar a conta e voltar a pedir a função de recuperação de senha do Gmail, o Hacker Croll pode acessar a conta pessoal no Gmail, de um empregado do Twitter. Os aplicativos de rede bem feitos, nunca darão a um usuário a sua senha se ele esquecê-la; eles vão forçar o usuário a escolher uma nova. Isso é o que o Hacker Croll fez. No entando, para não alertar o proprietário da conta, de que essa conta foi comprometida, ele teria, de alguma forma, que descobrir qual era a senha original do Gmail, e coloca-la de volta.

Isso é onde um mau hábito, com relação à prática de senha entra em jogo.A maioria de nós é culpado disso, utilizando a mesma senha em todos os lugares onde vão. Ao encontrar um e-mail enviado para o proprietário da conta, associado com alguns serviços aleatórios da rede, para os quais o usuário tinha se subscrevido, ele detalhou a senha em texto claro. Essa senha particular, foi encontrada mais de uma vez em e-mails similares. O Hacker Croll pode, nesse momento, supor seguramente, que essa mesma senha também foi utilizada para a conta do Gmail.

Daí pra frente, o Hacker Croll conseguiu acessar a conta de e-mail de trabalho do usuário, que estava hospedada no Google Apps para Domínios. Parece que esse empregado (e, na verdade, vários outros que trabalham no Twitter) utilizavam a mesma senha para o seu e-mail de trabalho e para a sua conta pessoal no Gmail. A partir desse momento, a invasão do Hacker Croll se propagou como um incêndio. Usando uma única conta pessoal do Gmail, à qual conseguiu obter acesso, como ponto de partida, ele finalmente conseguiu infectar várias contas, em uma série de serviços diferentes, tanto dentro como fora do Twitter.

Depois que o Hacker Croll teve acesso à conta de e-mail do empregado do Twitter hospedada pelo Google, ele foi capaz de baixar anexos de e-mail que tinham incluídas informações sensíveis, inclusive outras senhas e nomes de usuários. Ele rapidamente se apoderou das contas de pelo menos três executivos de alto-escalão, inclusive do Diretor Geral do Twitter, Evan Williams, e um dos seus co-fundadores, Biz Stone. A pesquisa dos anexos de e-mails por eles recebidos, levou a um grande número de dados sensíveis, que estavam sendo baixados.

Logo, o Hacker Croll foi realizar pesquisas externas, acessando a AT&T para registros telefonicos, o Amazon para o histórico de compras, o MobileMe para mais e-mails pessoais e o iTunes para informação completa do cartão de crédito. No final, após terminar a sua invasão generalizada, o Hacker Croll tinha conseguido obter informações pessoais e de trabalho sobre executivos importantes do Twitter, suficientes para tornar suas vidas miseráveis. Mesmo assim, o Twitter não tinha absolutamente nenhuma idéia de que tinha sido comprometido.

Quais eram as intenções do Hacker Croll após a realização desse processo?

Segundo o TechCrunch, tudo que o Hacker Croll pretendia fazer, era destacar os pontos fracos na segurança dos dados do Twitter e faze-los, bem como a outras empresas iniciantes, considerar medidas de segurança mais fortes. Isso pode muito bem ser verdade, já que o que poderia ter inevitavelmente ocorrido, era o Hacker Croll vender as informações que ele tinha conseguido, a fim de lucrar, o que ele não fez. Em vez disso, os documentos que ele adquiriu, através de sua invasão do Twitter, foram enviados a vários sites, inclusive o TechCrunch, a fim de provar o seu valor.

O Twitter tem ameaçado mover uma ação judicial contra os sites, inclusive o TechCrunch, que publicaram os documentos roubados, mas os peritos jurídicos avisaram, na semana passada, que era difícil prever se eles teriam sucesso.