Le , entre 20h00 et 22h00 UTC, 130 comptes Twitter de haut niveau auraient été compromis par des tiers pour promouvoir une Escroquerie Bitcoin. Twitter et d'autres sources médiatiques ont confirmé que les auteurs avaient eu accès aux outils administratifs de Twitter afin de pouvoir modifier eux-mêmes les comptes et publier les tweets directement. Ils semblent avoir utilisé l'ingénierie sociale pour accéder aux outils via les employés de Twitter. Trois personnes ont été arrêtées par les autorités le et accusées de fraude électronique, de blanchiment d'argent, de vol d'identité et d'accès non autorisé à un ordinateur lié à l'arnaque.
Les tweets d'escroquerie ont demandé aux individus d'envoyer de la monnaie bitcoin à un portefeuille de crypto-monnaie spécifique, avec la promesse de l'utilisateur de Twitter que l'argent envoyé serait doublé et retourné à titre de geste caritatif. Quelques minutes après les tweets initiaux, plus de 320 transactions avaient déjà eu lieu sur l'une des adresses de portefeuille et des bitcoins d'une valeur de plus de avaient été déposés sur un compte avant que les messages frauduleux ne soient supprimés par Twitter. En outre, des données complètes d'historique des messages provenant de huit comptes non vérifiés ont également été acquises.
Dmitri Alperovitch, cofondateur de la société de cybersécurité CrowdStrike, a décrit l'incident comme « le pire piratage d'une grande plate-forme de médias sociaux à ce jour ».. Le Federal Bureau of Investigation (FBI) et d'autres organismes d'application de la loi enquêtent sur l'arnaque et la sécurité utilisée par Twitter. Les chercheurs en sécurité ont exprimé leur inquiétude quant au fait que l'ingénierie sociale utilisée pour exécuter le piratage puisse affecter l'utilisation des médias sociaux dans d'importantes discussions en ligne, y compris la préparation de l'élection présidentielle américaine de 2020.
Incident L'analyse médico-légale de l'arnaque a montré que les messages d'arnaque initiaux ont d'abord été publiés par des comptes avec des noms distinctifs courts, à un ou deux caractères, tels que "@6". Cela a été suivi par les comptes Twitter de crypto-monnaie vers 20h00 UTC le , y compris ceux de Coinbase, et Binance.. L'escroquerie s'est ensuite déplacée vers des comptes plus prestigieux avec le premier tweet de ce type envoyé depuis le compte Twitter d'Elon Musk à 20h17 UTC. D'autres comptes apparemment compromis comprenaient ceux d'individus bien connus tels que Barack Obama, Joe Biden, Bill Gates, Jeff Bezos, MrBeast, Michael Bloomberg., Warren Buffett, Floyd Mayweather Jr., Kim Kardashian, et Kanye West ; et des sociétés telles que Apple, Uber et Cash App . Twitter pense que 130 comptes ont été touchés, bien que seulement 45 aient été utilisés pour tweeter le message d'escroquerie. ; la plupart des comptes qui ont été attaqués dans l'escroquerie avaient au moins un million d'abonnés.
Les tweets impliqués dans le piratage frauduleux ont affirmé que l'expéditeur, à titre caritatif, rembourserait à tout utilisateur le double de la valeur de tout bitcoin envoyé à des portefeuilles donnés, souvent dans le cadre d'un effort de secours COVID-19. Les tweets faisaient suite au partage de liens malveillants par un certain nombre de sociétés de crypto-monnaie; le site Web hébergeant les liens a été supprimé peu de temps après la publication des tweets. Bien que de telles escroqueries "double votre bitcoin" aient été courantes sur Twitter auparavant, il s'agit du premier cas majeur d'utilisation avec des comptes de haut niveau. Les experts en sécurité estiment que les auteurs de l’escroquerie ont fait de l’escroquerie une opération « »: sachant que l’intrusion dans les comptes serait fermée rapidement, les auteurs ont probablement prévu que seule une petite fraction des millions qui suivent ces comptes doit tomber sous le coup. l'arnaque dans ce court laps de temps pour gagner de l'argent rapidement. Plusieurs portefeuilles Bitcoin avaient été répertoriés sur ces sites Web; le premier observé avait reçu 12 provenant de plus de 320 transactions, d'une valeur de plus de , et en avait , tandis qu'un second n'avait que des milliers de dollars alors que Twitter prenait des mesures pour interrompre les publications. Il n'est pas clair s'il s'agissait de fonds ajoutés par ceux qui ont été menés par l'arnaque.., car les escrocs bitcoin sont connus pour ajouter des fonds aux portefeuilles avant de commencer des stratagèmes pour que l'arnaque semble légitime. Parmi les fonds ajoutés, la plupart provenaient de portefeuilles appartenant à des Chinois, mais environ 25% provenaient de portefeuilles américains.. Après son ajout, la crypto-monnaie a ensuite été transférée via plusieurs comptes afin de masquer leur identité.
Certains des comptes compromis ont publié des messages frauduleux à plusieurs reprises, même après avoir supprimé certains des messages.. Les tweets ont été étiquetés comme ayant été envoyés à l'aide de l'application Web Twitter.. L'une des phrases impliquées dans l'arnaque a été tweetée plus de en l'espace de quatre heures, des tweets étant envoyés à partir d'adresses IP liées à de nombreux pays différents.. La formulation réutilisée a permis à Twitter de supprimer facilement les tweets incriminés alors qu'ils prenaient des mesures pour arrêter l'arnaque.
À 21h45 UTC, Twitter a publié une déclaration disant qu'ils étaient « au courant d'un incident de sécurité ayant un impact sur les comptes Twitter » et qu'ils » prenaient des mesures pour y remédier ». Peu de temps après, il a désactivé la possibilité pour certains comptes de tweeter ou de réinitialiser leur mot de passe. ; Twitter n'a pas confirmé quels comptes ont été restreints, mais de nombreux utilisateurs avec des comptes que Twitter avait marqués comme « vérifiés » ont confirmé qu'ils n'étaient pas en mesure de tweeter... Environ trois heures après les premiers tweets d'escroquerie, Twitter a indiqué qu'il pensait avoir résolu tous les comptes concernés pour restaurer les informations d'identification de leurs propriétaires légitimes. Plus tard dans la nuit, le PDG de Twitter, Jack Dorsey, a déclaré que c'était une « journée difficile pour nous sur Twitter. Nous nous sentons tous terriblement mal que ce soit arrivé. Nous diagnostiquons et partagerons tout ce que nous pouvons lorsque nous aurons une compréhension plus complète de ce qui s'est passé exactement. ». Au moins un échange de crypto-monnaie, Coinbase, a mis sur liste noire les adresses Bitcoin pour empêcher l'envoi d'argent. Coinbase a déclaré avoir empêché l'envoi de plus de 1000 transactions totalisant plus de ..
En plus d'envoyer des tweets, les données de compte de huit comptes compromis ont été téléchargées, y compris toutes les publications et messages directs créés, bien qu'aucun de ces comptes n'appartienne à des utilisateurs vérifiés. Twitter soupçonnait également que trente-six autres comptes avaient eu accès à leurs messages directs mais non téléchargés, y compris le représentant du Parlement néerlandais Geert Wilders, mais pensait qu'aucun autre élu actuel ou ancien n'avait accès à leurs messages...
Méthode d'attaque Alors que Twitter s'efforçait de résoudre la situation le , Vice a été contacté par au moins quatre personnes prétendant faire partie de l'arnaque et a présenté au site Web des captures d'écran montrant qu'elles avaient pu accéder à un outil administratif de Twitter, également connu, comme un «outil d'agent», qui leur a permis de modifier divers paramètres au niveau du compte de certains des comptes compromis, y compris les e-mails de confirmation pour le compte. Cela leur a permis de définir des adresses e-mail auxquelles tout autre utilisateur ayant accès à ce compte de messagerie pouvait initier une réinitialisation de mot de passe et publier les tweets. Ces pirates ont déclaré à Vice qu'ils avaient payé des initiés sur Twitter pour avoir accès à l'outil administratif afin de pouvoir y parvenir.
TechCrunch a rapporté de la même manière, sur la base d'une source qui a déclaré que certains des messages provenaient d'un membre d'un forum de piratage appelé « OGUsers », qui avait prétendu en avoir fait plus . Selon TechCrunch, ce membre « Kirk » aurait eu accès à l'outil administratif de Twitter probablement via un compte d'employé compromis, et après avoir initialement proposé de prendre en charge n'importe quel compte sur demande, il a changé de stratégie pour cibler les comptes de crypto-monnaie en commençant par Binance et puis les plus en vue. La source ne pensait pas que Kirk avait payé un employé de Twitter pour y avoir accès.
Le Twitter « @6 » appartenait à Adrian Lamo, et l'utilisateur qui gère le compte au nom de la famille de Lamo a signalé que le groupe qui avait effectué le piratage avait pu contourner de nombreux facteurs de sécurité qu'il avait mis en place sur le compte, notamment l'authentification à deux facteurs, indiquant en outre que les outils administratifs avaient été utilisés pour contourner la sécurité du compte.. Les porte-parole de la Maison Blanche ont déclaré que le compte du président Donald Trump, qui pourrait avoir été une cible, avait des mesures de sécurité supplémentaires mises en œuvre sur Twitter après un incident en 2017, et n'a donc pas été affecté par l'arnaque.
Les sources 'Vice et TechCrunch ' ont été corroborées par le New York Times, qui a parlé à des personnes similaires impliquées dans les événements, et d'autres chercheurs en sécurité qui avaient reçu des écrans similaires, et les tweets de ces écrans ont été faites, mais Twitter a retiré ceux-ci car ils ont révélé les détails personnels des comptes compromis. Le New York Times a en outre affirmé que le vecteur de l'attaque était lié à la plupart des entreprises travaillant à domicile au milieu de la pandémie COVID-19 ; les membres des OGUsers ont pu accéder au canal de communication Slack des employés de Twitter, où les informations et les processus d'autorisation d'accès aux serveurs de l'entreprise à distance depuis leur domicile avaient été épinglés.
Twitter a par la suite confirmé que l'escroquerie impliquait de l'ingénierie sociale., déclarant : « Nous avons détecté ce que nous croyons être une attaque d'ingénierie sociale coordonnée par des personnes qui ont ciblé avec succès certains de nos employés avec un accès aux systèmes et outils internes ». En plus de prendre des mesures supplémentaires pour verrouiller les comptes vérifiés concernés, Twitter a déclaré avoir également ouvert une enquête interne et avoir un accès limité des employés à leurs outils d'administration système lorsqu'ils évaluent la situation, ainsi que si des données supplémentaires ont été compromises par le utilisateurs malveillants..
À la fin du , Twitter a confirmé ce qui avait été appris de ces sources médiatiques, déclarant que « les attaquants ont manipulé avec succès un petit nombre d'employés et ont utilisé leurs informations d'identification pour accéder aux systèmes internes de Twitter, y compris pour accéder à nos protections à deux facteurs. À partir de maintenant, nous savons qu'ils ont accédé aux outils uniquement à nos équipes de support internes. ». Twitter avait été en mesure de confirmer le que la méthode utilisée était ce qu'ils appelaient une « attaque de phishing par téléphone » : ils ont initialement utilisé l'ingénierie sociale pour briser les informations d'identification des employés de Twitter de niveau inférieur qui n'avaient pas accès aux outils d'administration., puis en utilisant ces comptes d'employés, se sont lancés dans des attaques d'ingénierie sociale supplémentaires pour obtenir les informations d'identification des outils d'administration des employés qui disposaient d'une autorisation pour leur utilisation..