Консоль, стоящая за публичным разговором: взлом Twitter 2020 года и право говорить

Кратко

• Сбой контроля был значительнее самой кражи.Злоумышленники использовали телефонную социальную инженерию, чтобы получить учётные данные сотрудников, изучить внутренние процессы, выйти на сотрудников с доступом к поддержке аккаунтов и применить собственные инструменты Twitter против 130 аккаунтов. Twitter сообщил, что с 45 аккаунтов отправлялись твиты, для 36 открывалась папка личных сообщений, а для 7 были загружены архивы аккаунтов. Это разные действия и разные затронутые группы, а не взаимозаменяемые определения компрометации.
• Административный инструмент был критической зависимостью публичных коммуникаций.Он позволял сбрасывать пароли, менять состояние аккаунта, раскрывать контактные данные и данные для входа и передавать контроль от законного владельца. Когда этой властью злоупотребили, настоящая метка аккаунта, граф подписчиков и история публикаций превратились в инфраструктуру распространения чужого заявления. Последующая локализация в Twitter помешала многим легитимным верифицированным аккаунтам публиковать твиты или менять пароли — в том числе государственным учреждениям, пытавшимся донести информацию.
• Видимая афера была финансово небольшой, но показательной.Департамент финансовых услуг штата Нью-Йорк оценил похищенные биткоины примерно в 118 000 долларов. Поднадзорные ему компании сообщили о блокировке попыток переводов на сумму около 1,347 млн долларов, а несколько их клиентов потеряли около 22 000 долларов до того, как блокировки вступили в силу. Контраст показывает, как быстро нижестоящим механизмам контроля пришлось компенсировать сбой доверия, возникший выше по цепочке.
• Ответственность разделена, но не равна.Злоумышленники контролировали обман, несанкционированный доступ, продажу аккаунтов, мошеннические сообщения и хищение. Twitter контролировал объём полномочий поддержки, аутентификацию, переаттестацию доступа, мониторинг, согласование высокорисковых операций, локализацию, восстановление и публичную отчётность. Владельцы аккаунтов и финансовые платформы могли снизить последующий ущерб, но не могли проектировать или аудировать внутреннюю консоль Twitter.
• Публичные материалы дают высокую уверенность в пути атаки и её последствиях, но не полную криминалистическую реконструкцию.NYDFS, Twitter, уголовные обвинения, последующие признания вины, анализ блокчейна и корпоративные документы сходятся в основной последовательности. Они не раскрывают полный путь аутентификации, каждое привилегированное действие, точные права каждого скомпрометированного сотрудника, все данные о сессиях, оповещения систем обнаружения или независимые подтверждения закрытия каждой меры по устранению последствий.

Механизм восстановления доступа был частью публичного пространства

Социальная сеть со стороны выглядит как издательский сервис. Человек входит в систему, пишет сообщение и распространяет его среди подписчиков. За этим простым действием стоит гораздо более мощный сервис, которого обычные пользователи не видят: механизмы восстановления аккаунтов, смены привязанного адреса электронной почты, сброса паролей, отключения многофакторной аутентификации, расследования злоупотреблений, применения правил, ответа на юридические запросы и восстановления доступа, когда законный владелец оказывается заблокирован.

Этот механизм необходим. Люди теряют устройства, компании меняют сотрудников, аккаунты блокируются по ошибке. Но каждая возможность восстановления — это одновременно альтернативная система аутентификации. Сотрудник, решающий, что обратившийся вправе получить аккаунт, осуществляет власть над идентичностью, а не просто оказывает клиентский сервис.

Расследование Департамента финансовых услуг штата Нью-Йоркописывает внутренние инструменты Twitter как раскрывающие непубличную информацию об аккаунте, включая привязанную электронную почту, номер телефона и IP-адрес входа. Авторизованные сотрудники могли с их помощью обновлять адреса электронной почты, сбрасывать пароли и включать или отключать многофакторную аутентификацию. Часть инструментов также поддерживала модерацию контента и ответы на юридические запросы. Это была единая поверхность на стыке идентичности, приватности, речи и институционального соответствия требованиям.

15 июля 2020 года эта внутренняя поверхность стала способом говорить от имени Barack Obama, Joe Biden, Elon Musk, Bill Gates, Apple, Uber, криптовалютных бирж и других владельцев громких аккаунтов. Мошенникам не пришлось с нуля собирать аудиторию или имитировать аккаунт. Они унаследовали настоящее имя, историю, сигнал верификации и подписчиков аккаунта. Собственное представление сервиса о подлинности и составило убеждающий слой.

Поэтому небольшая сумма похищенного может вводить в заблуждение. Примерно 118 000 долларов — существенные деньги для тех, кто их потерял, но это не потолок события. Это результат одной поспешной аферы одной группы за один день до начала локализации. Административный доступ к глобальному коммуникационному сервису имел куда большую опционную ценность.

Его можно было использовать, чтобы опубликовать ложное корпоративное раскрытие, манипулировать ценой ценной бумаги, сфабриковать сообщение о безопасности населения, заглушить легитимный аккаунт во время кризиса, обнародовать личную переписку или внедрить политическое заявление в предвыборный период.

Эти контрфактуалы не следует превращать в утверждения о том, что подобный вред действительно произошёл. Они объясняют, почему проектирование контроля должно быть соразмерно власти, а не стоимости похищенного в наблюдаемом случае. Комиссия по ценным бумагам и биржам США (SEC) давно предупреждает, что ложные заявления могут распространяться через соцсети в схемах манипулирования инвестициями, включаяпродвижение по схеме pump-and-dump в Twitter. NYDFS также сослался на захват аккаунта Associated Press в 2013 году, после которого твит о ложном взрыве в Белом доме сопровождался быстрым временным падением рыночной стоимости. Twitter не просто размещал разговоры.

Он нёс заявления, на основе которых могли действовать автоматизированные системы, инвесторы, журналисты, чиновники и общественность.

Однодневная атака имела три коммерческие фазы

Наиболее ясную публичную реконструкцию даёт октябрьский отчёт NYDFS за 2020 год, подготовленный на основе повесток, интервью, документов и опроса поднадзорных криптовалютных компаний. Собственноеобновление Twitter об инциденте безопасностиприводит цифры и характеристику компании. Уголовные материалы добавляют доказательства о продаже аккаунтов и биткоин-следе, но утверждения из жалобы остаются утверждениями, пока не признаны или не доказаны.

Событие не было одним нерасчленённым «взломом». Это была последовательность, в которой один вид доступа удешевлял следующий.

Эта последовательность опровергает неточную версию: будто одного сотрудника с универсальным доступом один раз обманули, после чего аккаунты знаменитостей немедленно опубликовали мошенничество. NYDFS установил, что у первого скомпрометированного сотрудника не было нужного доступа к управлению аккаунтами. Вторгшиеся использовали этот плацдарм, чтобы изучить внутренние процессы, а затем выбрали сотрудников с более подходящим доступом. Twitter также сообщал, что изначально атакованные сотрудники не все имели право управления аккаунтами.

Это латеральное перемещение через организационные знания. Внутренняя документация, названия приложений, описания ролей и процедуры поддержки могут стать данными, расширяющими привилегии, даже когда первая учётная запись не может выполнить финальное действие. Минимальные привилегии замедлили злоумышленников, но не сдержали их: исходная учётная запись всё равно могла достать информацию, полезную для выбора и обмана следующего человека.

Обман сотрудников, доступ к инструментам, захват аккаунтов и мошенничество — разные события

Хорошая подотчётность начинается с глаголов. Произошли четыре разных вещи, у каждой — свой владелец контроля и свой след доказательств.

Во-первых, сотрудников обработали методами социальной инженерии.NYDFS установил, что звонившие выдавали себя за внутренний IT-отдел, ссылались на типичные проблемы с VPN при удалённой работе, использовали личную информацию, чтобы звучать убедительно, и направляли сотрудников на похожую на настоящую страницу входа. Отчёт не нашёл доказательств того, что сотрудники помогали сознательно. Назвать это «делом внутренних рук» — значит противоречить этому выводу. Свести всё к «человеческой ошибке» — значит проигнорировать систему, в которой входящего звонка, многоразового пароля и одобренного push-подтверждения было достаточно для входа в сеть.

Во-вторых, учётные записи сотрудников добрались до внутренних систем.Первоначальные аккаунты открыли маршрут к информации интранета. Позже скомпрометированные учётные данные дали доступ к инструментам поддержки аккаунтов. Доступ к внутренней сети — не то же самое, что доступ ко всем административным функциям, и ни то ни другое не равно владению пользовательским аккаунтом. Это различие важно при оценке сегментации доступа.

В-третьих, полномочия поддержки использовали для передачи или осуществления контроля над аккаунтами.По 45 аккаунтам Twitter сообщил, что злоумышленники могли инициировать сброс пароля, входить в систему и публиковать твиты. В федеральнойуголовной жалобе и подтверждающем аффидевите против Nima Fazeliутверждалось о рынке, где фигурант демонстрировал доступ к внутренней панели и через посредников продавал контроль над желаемыми именами пользователей. В более поздних разбирательствах с участием Joseph O'Connor описывалась покупка несанкционированного доступа к аккаунтам и передача аккаунтов от законных владельцев. Это была кража идентичности как услуга с внутренними инструментами в роли товарного запаса.

В-четвёртых, часть захваченных аккаунтов распространяла мошенничество.Ложное обещание предлагало вернуть вдвое больше отправленных биткоинов. Аккаунт был подлинным, предложение — нет. Мошеннические твиты эксплуатировали разрыв между подлинностью источника и подлинностью сообщения. Верификационная метка могла означать, что Twitter связывает аккаунт с публичным лицом или организацией. Но она не могла доказать, что авторизованный владелец составил конкретное сообщение после того, как внутренняя система идентичности была скомпрометирована.

Четыре стадии подразумевают четыре отдельных контрольных теста:

1. Мог ли звонивший убедительно изобразить службу поддержки и перехватить логин сотрудника?
2. Что могла узнать или достать только что аутентифицированная учётная запись сотрудника?
3. Какие дополнительные доказательства и согласования требовались для смены контроля над аккаунтом с высоким влиянием?
4. Какое обнаружение аномалий или трение транзакций применялось, когда множество громких аккаунтов меняли состояние и публиковали похожие финансовые запросы?

Обучение релевантно первому вопросу. Оно не является полным ответом на остальные три.

Цифры инцидента измеряют разные виды вреда

Итоговые публичные цифры Twitter: 130 атакованных аккаунтов, с 45 отправлены твиты, для 36 открывался доступ к папке личных сообщений, для 7 загружена Twitter Data. В более ранних отчётах компании говорилось о восьми загрузках; позднее обновление пересмотрело число до семи. NYDFS сообщил, что внутренний инструмент сформировал запросы данных ещё по 52 аккаунтам, по которым данные не загружались.

Эти цифры нельзя складывать, поскольку группы могут пересекаться. Не стоит и описывать 130 как 130 аккаунтов, использованных в биткоин-афере. «Атакованные» или «скомпрометированные» на общем уровне инцидента — это больше, чем публикация сообщений. Имеющиеся доказательства поддерживают несколько классов вреда:

Различие между доступом к папке входящих и загрузкой архива особенно важно. Папку личных сообщений можно просматривать внутри аккаунта. Архив данных — сформированный пакет с гораздо более широким набором информации об аккаунте. NYDFS описал содержимое архива как потенциально включающее данные профиля, твиты, сообщения и прикреплённые медиа, списки подписчиков и подписок, данные адресной книги, предполагаемые демографические характеристики и сведения о взаимодействии с рекламой. Запрос — не загрузка, а загрузка — не доказательство того, что каждая включённая запись была использована.

Twitter сообщил, что напрямую связался с пострадавшими владельцами и восстановил доступ заблокированным. Вгодовом отчёте по форме 10-K за 2020 годкомпания признала, что несанкционированные сообщения со скомпрометированных аккаунтов могут нанести вред личной безопасности, репутации и брендам, а июльское событие способно породить правовые, финансовые последствия и последствия для доверия. Раскрытие рисков в документах о ценных бумагах — не независимый криминалистический вывод. Оно полезно тем, что показывает: сама компания признавала вред, выходящий за пределы адреса для получения биткоинов.

Экономика обращений в поддержку играла на стороне злоумышленника

Атака точно иллюстрирует экономику злоупотребительных обращений в поддержку. Служба поддержки создаётся, чтобы снижать трение для легитимных людей. Она централизует экспертизу, даёт сотрудникам инструменты, документирует процедуры и измеряет, закрыты ли обращения. Эти свойства снижают стоимость обслуживания. Они же могут снижать предельную стоимость злоупотребления, если злоумышленник может дёшево инициировать повторные контакты, собирать информацию из частичных неудач и в итоге выйти на человека, чьё решение имеет большой вес.

Злоумышленникам не нужен был ранее неизвестный эксплойт. Нужны были подготовка, убедительная речь, похожая страница, сведения о сотрудниках и достаточное число попыток. Неудачный звонок стоил дёшево. Успешный давал учётные данные. Учётные данные без финальной привилегии всё равно давали внутреннюю разведку. Разведка выводила на другого сотрудника. Один успешный путь к инструменту поддержки затем обеспечил множество захватов аккаунтов и несколько стратегий монетизации.

Это создаёт жёсткую асимметрию:

• злоумышленник может обзвонить множество людей, тогда как каждый сотрудник переживает одно внешне обычное обращение в поддержку;
• злоумышленник учится на отказах, тогда как сотрудники могут не видеть, что звонки образуют одну кампанию;
• звонивший выбирает время и предлог, тогда как сотрудник может решать реальную проблему удалённой работы;
• компания несёт полную стоимость ложных срабатываний, если каждый легитимный случай в поддержке замедляется;
• одно ошибочное одобрение может создать доступ, стоящий гораздо больше всех неудачных звонков;
• последующий ущерб распределяется между владельцами аккаунтов, получателями сообщений, финансовыми компаниями, госучреждениями, службами реагирования и платформой.

Поддержка при этом должна была продолжать работать. Twitter нужно было изменить выигрыш злоумышленника. Восстановление высокорисковых аккаунтов должно требовать доказательств, которые нельзя собрать из публичных профилей или выманить в том же звонке. Восстановленная учётная запись не должна немедленно получать все прежние привилегии. Чувствительные изменения должны порождать независимое уведомление, а для аккаунтов с наибольшим влиянием — авторизацию вторым человеком или задержку. Повторные попытки должны коррелироваться между сотрудниками.

Та же логика действует после инцидента. Ограничение инструментов снизило возможности злоумышленников, но замедлило ответы Twitter на легитимные обращения в поддержку, жалобы на злоупотребления и запросы разработчиков. Защитное трение пришлось вернуть массово, потому что до компрометации оно не было применено достаточно избирательно. Стоимость переместилась с рискового действия на каждого пользователя, ожидающего помощи.

Небольшая афера породила больший поток попыток платежей

Записи блокчейна делают одну часть события необычно наблюдаемой.Обзор Chainalysis неделю спустяпоказал, что три рекламировавшихся адреса получили 13,14 биткоина, стоивших тогда примерно 120 000 долларов. Аналитики также оценили, что около 20 000 долларов поступило с подозрительного адреса, вероятно контролируемого злоумышленниками, — распространённый способ создать видимость активности аферы. Этот анализ означает, что валовые поступления не обязательно равны потерям жертв. NYDFS использовал приблизительную сумму похищенного в 118 000 долларов.

Федеральная жалоба описывала сотни входящих переводов на основной адрес и быстрый вывод средств. Публичный блокчейн делал адрес и движение средств наблюдаемыми, но атрибуция по-прежнему требовала следственной работы, записей сервисов, переписок и юридических процедур. «Прослеживаемый» не означало «автоматически обратимый». Подтверждённые биткоин-переводы не давали механизма возврата платежа (chargeback), доступного в некоторых потребительских платёжных системах.

Опрос NYDFS даёт более показательное сравнение. Четыре поднадзорные компании сообщили, что активно блокировали попытки клиентских переводов на мошеннические адреса на сумму около 1,347 млн долларов:

• Coinbase заблокировала около 5 670 попыток переводов на сумму примерно 1,294 млн долларов.
• Square заблокировала 358 переводов на сумму около 51 000 долларов.
• Gemini заблокировала два перевода на сумму около 1 800 долларов.
• Bitstamp заблокировал один перевод на сумму около 250 долларов.

Gemini, Square и Coinbase сообщили регулятору, что несколько клиентов перевели около 22 000 долларов до вступления блокировок в силу. NYDFS назвал эти суммы единственными заявленными потерями клиентов среди опрошенных поднадзорных компаний. Эти значения — не полный глобальный реестр жертв, а заблокированный объём — не похищенные деньги. Это предотвращённый отток средств, о котором сообщили конкретные компании.

Цифры вскрывают цепочку зависимостей. Twitter контролировал, мог ли доверенный аккаунт распространять мошеннический адрес. Криптовалютные компании контролировали, мог ли клиент их сервиса отправить средства на этот адрес после его опознания. Клиенты контролировали, инициировать ли платёж, но принимали это решение под намеренно искажённым сигналом источника. NYDFS контролировал надзорную коммуникацию со своими поднадзорными компаниями. Правоохранительные органы и аналитические компании помогали помечать и отслеживать адреса.

Эти компании не чинили Twitter. Они компенсировали на другом уровне, применяя аналитику адресов назначения и контроль транзакций. Финансовый посредник, видящий известный мошеннический адрес, мог сыграть роль в его блокировке, но не контролировал проектирование доступа в Twitter. Пользователь должен сомневаться в предложении удвоить сумму, но не контролировал подлинный аккаунт, с которого оно появилось. Параллельные обязанности не стирают сторону, обладающую исключительным контролем над отказавшей возможностью.

Локализация заглушила легитимные голоса

Twitter столкнулся со сложной задачей реагирования. Сначала было непонятно, каким сессиям сотрудников и инструментам можно доверять. Продолжение нормальной работы грозило новыми захватами. Ограничение доступа мешало тем, кто пытался расследовать и восстанавливать сервис. Компания выбрала широкие меры: отозвала или ограничила доступ сотрудников к внутренним системам, запретила многим верифицированным аккаунтам публиковать твиты и менять пароли и заблокировала аккаунты с недавними сменами пароля.

Это решение было защитимо как локализация. Но это был и срыв сервиса. NYDFS сообщил, что государственные учреждения не могли получить доступ к своим аккаунтам, включая его собственный.Реконструкция WIREDсообщала, что Национальная метеорологическая служба не могла отправить через свой аккаунт предупреждение о торнадо.

Это и есть зависимость от облачного сервиса в центре дела. Организация может писать собственные сообщения и контролировать своих сотрудников, но если для выхода на публику она полагается на хостинговую социальную платформу, её способность публиковать зависит от системы идентичности и контроля инцидентов провайдера. Клиент не может за минуты переключить подписчиков, историю и контекст верификации аккаунта на второго провайдера. Запасной сайт, список рассылки, сервис оповещений или второй соцканал могут донести информацию, но не обязательно до той же аудитории и с той же социальной убедительностью.

Поэтому компромисс локализации следует рассматривать как требование непрерывности, а не просто решение о безопасности. Платформа, несущая коммуникации общественной безопасности и институциональные коммуникации, должна уметь ответить как минимум на четыре вопроса ещё до инцидента:

1. Можно ли приостановить высокорисковые административные действия, не лишая голоса всех доверенных издателей?
2. Могут ли экстренные аккаунты и аккаунты в общественных интересах продолжать работу через отдельно защищённый путь?
3. Может ли платформа сообщать статус инцидента через независимо контролируемый канал, если её собственный аккаунт и учётные записи сотрудников под подозрением?
4. Могут ли учреждения перенаправить аудиторию на аутентифицированный запасной канал, созданный до кризиса?

Идеального ответа может не быть, пока привилегированная плоскость идентичности не заслуживает доверия. Поэтому важен её масштаб. Когда одна административная поверхность может восстанавливать аккаунты и принуждать к массовому ограничению речи во время локализации, проектирование инструментов поддержки становится проектированием устойчивости.

Twitter сообщил, что ограничения доступа также замедлили поддержку аккаунтов, обработку жалоб на твиты и заявки на платформе для разработчиков. Восстановление не закончилось, когда прекратились мошеннические твиты. Каждый задержанный легитимный случай был частью операционных издержек. Часть задержек — цена безопасной локализации; часть — следствие концентрации множества функций за доступом, которому реагирующие больше не могли доверять.

Верификация удостоверяла аккаунт, а не момент

Афера эксплуатировала распространённый ментальный ярлык: подлинный аккаунт якобы означает подлинное сообщение. Верификация усиливала этот ярлык. Она сообщала пользователям, что аккаунт, представляющий общественный интерес, связан с указанным лицом или организацией. Она не была криптографической подписью владельца под каждой публикацией.

Как только административный инструмент смог менять контроль, верификация платформы продолжала удостоверять связь с идентичностью, которую текущая сессия больше не соблюдала. Метка не исчезала при смене пароля, почты или состояния многофакторной аутентификации. Сигнал доверия платформы и её система восстановления оказались связаны: решение о восстановлении определяло, кто унаследует убеждающую ценность метки.

Это имеет практические последствия. Изменения в аккаунтах с высоким влиянием должны обрабатываться иначе, чем рутинная публикация. Платформа может ввести период охлаждения, дополнительную проверку, заметное уведомление владельца, временные ограничения на финансовые запросы или видимое изменение состояния после восстановления с помощью поддержки. У каждой меры есть издержки. Задержка может навредить владельцу аккаунта, столкнувшемуся с активным злоупотреблением. Публичное предупреждение может раскрыть чувствительное восстановление. Контентное правило можно обойти.

Но полное отсутствие трения позволяет одному административному решению мгновенно передать накопленное доверие.

Сентябрьский пост Twitter 2020 года обулучшенной безопасности аккаунтов, связанных с выборами, описывал более сильную защиту входа, защиту сброса пароля и поощрение или требование двухфакторной аутентификации для выделенной группы. Это были полезные защитные меры ниже по течению, но июльский инцидент показал: пользовательская MFA сама по себе не может сдержать внутренний инструмент поддержки, способный сбрасывать пароль или менять состояние аккаунта. Защита известного пользователя при входе и защита пути восстановления через сотрудника — отдельные задачи контроля.

«Используйте MFA» — верно, но недостаточно

Скомпрометированные сотрудники использовали многофакторную аутентификацию на основе приложения. NYDFS установил, что злоумышленники вводили перехваченные учётные данные в настоящий вход Twitter, пока сотрудник взаимодействовал с фишинговым сайтом. Настоящий вход порождал запрос на одобрение, и часть сотрудников его одобряла. Второй фактор подтверждал владение устройством и готовность одобрить. Он не устанавливал, что сотрудник аутентифицируется в намеренном сервисе в операции, которую сам инициировал.

Позже Twitter сообщил, что ускорил развёртывание устойчивых к фишингу ключей безопасности для сотрудников. Его пост опродолжающейся работе по безопасноститакже описывал больше обучения, тестов на проникновение, отработок сценариев, проверок приватности и усилий по сокращению несанкционированного доступа к внутренним системам через скомпрометированные учётные данные.

Это проектное различие подтверждается более поздними федеральными рекомендациями. NIST объясняет, чтоустойчивая к фишингу аутентификацияиспользует криптографическую привязку, чтобы перехваченный аутентификационный материал нельзя было воспроизвести на легитимном сервисе, и рекомендует её прежде всего для привилегированных пользователей. Это объяснение 2023 года — ориентир, а не доказательство того, что Twitter развернул в июле 2020 года. NYDFS независимо заявил, что физический ключ безопасности остановил бы воссозданный им ретранслированный путь аутентификации.

Даже устойчивый к фишингу вход сотрудника решал бы только исходную кражу учётных данных. Он не отвечал на вопросы: не слишком ли много ролей могут достигать высокопривилегированных инструментов, требовали ли действия поддержки второго утверждающего, мог ли восстановленный аккаунт немедленно публиковать, была ли аномальной генерация архивов и наблюдались ли сессии. Сильная аутентификация защищает дверь. Что происходит после входа, определяют авторизация, проектирование процессов и мониторинг.

Опубликованная в августе 2020 годаархитектура нулевого доверия NISTполезна здесь тем, что отвергает неявное доверие только на основе сетевого расположения и требует дискретной аутентификации и авторизации перед доступом к ресурсу. Применение этого принципа не требует превращать событие в лозунг. Оно означает: действительная VPN-сессия не должна автоматически давать постоянное право просматривать любые внутренние страницы процессов или выполнять высокорисковую смену аккаунта. Чувствительность ресурса, состояние устройства, роль пользователя, контекст операции и недавнее поведение должны влиять на решение.

Восстановление не должно становиться ослабленной копией входа

Безопасность пользовательского аккаунта часто оценивается у входной двери: качество пароля, подключение многофакторной аутентификации, обнаружение подозрительных входов. Внутренний путь поддержки находится рядом с этой дверью. Если поддержка может сменить адрес почты, сбросить пароль или отключить MFA на основе более слабого подтверждения, фактический уровень гарантий определяет именно процесс поддержки.

Руководство OWASP по забытым паролямрекомендует токены через боковой канал, ограничение частоты, уведомление после сброса и аннулирование сессий. Егоруководство по тестированию MFAпроводит ключевую мысль: сброс MFA нужно тестировать с той же серьёзностью, что и сам механизм MFA. Это общие справочники по безопасности приложений, а не привязанные к инциденту юридические стандарты.

Для внутренней операции восстановления глобальной платформы подотчётный шаблон строже:

• разделять полномочие просмотра и полномочие изменения, чтобы просмотр аккаунта не означал возможности передать его;
• требовать привязанный к цели идентификатор обращения и фиксировать нормативное основание чувствительных действий;
• получать независимое согласование изменений аккаунтов с высоким влиянием или высокорисковых атрибутов;
• привязывать доступ сотрудника к управляемому устройству и устойчивому к фишингу аутентификатору;
• уведомлять владельца аккаунта через заранее существующие каналы до или сразу после изменения;
• отзывать или пересматривать существующие сессии при изменении атрибутов идентичности;
• временно ограничивать необычно рискованное поведение после восстановления с помощью поддержки;
• коррелировать изменения между аккаунтами, сотрудниками, адресами назначения и шаблонами сообщений в реальном времени;
• хранить защищённые от вмешательства аудиторские данные, видимые команде мониторинга, отдельной от оператора;
• давать экстренным исключениям явный, регистрируемый путь вместо неформального усмотрения.

Такая схема замедлит часть легитимных обращений. Эту стоимость нужно соизмерять с объёмом власти. Twitter сообщал, что доступ к внутренним инструментам обслуживания аккаунтов, проверки контента и смежных обязанностей имели более 1 000 сотрудников. NYDFS заключил, что доступ был слишком широк для такого риска, и отметил, что Twitter сократил его после инцидента, хотя работа замедлилась. Выбор не в том, «ноль доступа» или «мгновенная поддержка». Вопрос в том, как распределить узкие возможности, чтобы обычные задачи оставались эффективными, а редкие действия по передаче идентичности требовали больше доказательств.

Мониторинг должен был понимать последовательности, а не изолированные действия

Ни одно отдельное событие не выглядело обязательно решающим. Вход прошёл с MFA. Открылась внутренняя страница. Сменилась почта аккаунта. Был запрошен архив. Восстановленный аккаунт опубликовал биткоин-адрес. У каждого действия в отдельности могло быть легитимное объяснение.

Последовательность была экстраординарной. Несколько сотрудников получили похожие звонки. Одна учётная запись изучала внутренние системы. Множество ценных аккаунтов сменили владельцев. На громких аккаунтах появились похожие сообщения. Архивы запрашивались в необычных масштабах. Повторялся один адрес назначения. Эффективная программа мониторинга должна была коррелировать события идентичности, обращений в поддержку, административных действий, контента и сети достаточно быстро, чтобы остановить цепочку до созревания публичной фазы.

NYDFS установил, что часть сотрудников сообщила о подозрительных звонках и что команда Twitter по инцидентам уже вела расследование до начала захвата аккаунтов криптовалютных компаний. Он также заключил, что более сильный мониторинг мог бы обнаруживать аномальную активность ближе к реальному времени или прерывать рискованные сессии. Этот вывод не раскрывает, какие оповещения существовали, какие пороги срабатывали, кто их видел и почему конкретные действия продолжались. Он подтверждает пробел в контроле, не давая полной хронологии оповещений.

Мониторинг привилегированных действий требует большего, чем хранение журналов для последующего расследования. Качественный контроль должен отвечать на вопросы:

• Сколько изменений почты, пароля и MFA по аккаунтам может сделать один сотрудник за заданный промежуток?
• Не связаны ли затронутые аккаунты с очередью, географией или порученной функцией сотрудника?
• Предшествовали ли действию новое устройство, необычный сетевой путь или недавнее восстановление учётных данных?
• Обращался ли сотрудник к внутренней документации вне обычных ролевых паттернов?
• Публиковали ли несколько восстановленных аккаунтов один и тот же финансовый адрес или формулировку?
• Запрашивались ли архивы данных без соответствующего пользовательского процесса?
• Может ли мониторинг приостановить операцию, не полагаясь на возможно скомпрометированного оператора?

Цель — не записать сотрудника в виновные. Скомпрометированная учётная запись и недобросовестный инсайдер могут давать похожие технические действия. Контроли должны защищать и сотрудника, и платформу, выявляя осуществление власти вне ожидаемого контекста.

Более ранние предписания FTC делают вопрос управления острее

Twitter вступил в июль 2020 года с необычно релевантной регуляторной историей. В 2010 году Федеральная торговая комиссия (FTC) утверждала, что из-за сбоев безопасности злоумышленники в 2009 году получили административный контроль, доступ к непубличной информации, возможность сбрасывать пароли и отправлять несанкционированные твиты. Вжалобе FTC 2011 годаутверждалось, среди прочего, что административный доступ недостаточно ограничивался в соответствии с должностными потребностями.

Итоговоерешение и предписание 2011 годане составляло признания Twitter того, что заявленные нарушения закона имели место. Но оно возлагало обязательства. Twitter запрещалось вводить в заблуждение относительно защиты непубличной информации потребителей, и он был обязан поддерживать комплексную письменную программу информационной безопасности. Предписание прямо требовало оценки рисков, охватывающей обучение сотрудников и управление ими, проектирование систем, а также предотвращение, обнаружение и реагирование на атаки, вторжения, захваты аккаунтов и несанкционированный административный контроль. Оно также требовало независимых оценок по установленному графику.

Эта история не доказывает, что июльский инцидент 2020 года нарушил предписание FTC. В рассмотренных здесь открытых источниках нет вывода FTC о том, что сам захват нарушил предписание, а отчёты независимых оценок не публиковались вместе с материалами об инциденте. Но она делает несколько вопросов неизбежными: как программа оценивала полномочия инструментов поддержки; что оценки говорили об административном доступе; как тестировались изменения для удалённой работы; и какие доказательства доходили до высшего руководства?

Отдельное дело FTC и Министерства юстиции США (DOJ), объявленное в 2022 году, касалось использования Twitter номеров телефонов и адресов электронной почты, собранных в целях безопасности, для таргетированной рекламы в 2014–2019 годах. Вматериалах дела FTCианонсе об урегулировании с DOJописывается гражданский штраф в 150 млн долларов и дополнительные требования к программе. Это дело не рассматривало по существу июльский захват 2020 года. Оно входит в послужной список подотчётности, потому что показывает: прежнее предписание сохраняло силу, а контактные данные для безопасности и восстановления находились одновременно внутри системы защиты и рекламного бизнеса.

Хронология важна. В годовом отчёте Twitter за 2020 год говорилось, что 28 июля, менее чем через две недели после взлома, компания получила проект жалобы FTC, но жалоба касалась более ранней практики работы с контактными данными. Соединять два дела в одно заявленное нарушение было бы неточно. Их разделение вскрывает более широкую проблему управления: безопасность аккаунтов не была технической вспомогательной функцией. Она затрагивала административные привилегии, коммуникации пользователей, персональные данные, рекламные стимулы, регуляторные обещания и риск на уровне совета директоров.

Уголовная ответственность распределилась между юрисдикциями

Первые федеральные обвинения появились быстро. 31 июля 2020 года Министерство юстиции СШАобъявило о жалобах против Mason Sheppard и Nima Fazeliи сообщило, что дело несовершеннолетнего передано окружному прокурору в Тампе. В заявлении прямо говорилось, что утверждения из жалобы — не доказательства и что обвиняемые считаются невиновными, пока вина не доказана.

Флорида позже привлекла Graham Ivan Clark к суду штата.Репортаж WUSF о признании вины и приговоре, основанный на заявлении окружного прокурора округа Хиллсборо и слушании, сообщил, что Clark признал вину и получил три года в учреждении для несовершеннолетних с последующими тремя годами испытательного срока в рамках флоридской системы для молодых правонарушителей. Этот исход установил индивидуальную уголовную ответственность Clark; он не решил вопрос о корпоративной ответственности Twitter за контроль.

Joseph James O'Connor, гражданин Великобритании, экстрадированный из Испании,в мае 2023 года признал винупо обвинениям, охватывающим несколько схем, включая участие в заговоре вокруг Twitter. Министерство юстиции сообщило, что соучастники использовали социальную инженерию для доступа к административным инструментам Twitter, передавали контроль над аккаунтами, часть использовали для мошенничества, а другие продавали. В июне 2023 года O'Connor былприговорён к пяти годам федерального тюремного заключенияпо более широкому кругу преступлений, причём действия с Twitter составили часть дела.

Эти материалы нужно читать по каждому обвиняемому отдельно. Первоначальные жалобы против Sheppard и Fazeli были обвинениями. Признания Clark и O'Connor поддерживают более поздние выводы об их собственных признанных действиях. Пятилетний приговор O'Connor также охватывал SIM-свопинг, захваты других платформ, вымогательство, преследование и угрозы; его нельзя целиком относить к инциденту с Twitter. Публичное молчание о последующей судьбе названного лица не должно превращаться в вывод о виновности или оправдании.

Уголовное преследование ответило на вопрос, кто может быть наказан за несанкционированный доступ и мошенничество там, где доказательства поддерживали дело. Оно не ответило, была ли архитектура доступа платформы соразмерной, закрыло ли устранение последствий все пробелы и получили ли пользователи полное возмещение. Корпоративная ответственность и ответственность правонарушителя могут сосуществовать, не подменяя друг друга.

Чего публичные материалы по-прежнему не показывают

Уверенность в общей картине события высока, потому что сходятся несколько независимых материалов. По мере того как вопросы становятся более техническими, уверенность должна сужаться.

Публичные материалы не дают:

• полного списка скомпрометированных сотрудников и их точных ролей;
• числа обзвоненных сотрудников, доли успешных звонков и полной хронологии звонков;
• журналов устройств, VPN, провайдера идентичности и приложений по каждой сессии;
• каждой просмотренной или задействованной внутренней страницы, поля аккаунта и функции инструмента;
• точного механизма изменения почты, пароля и состояния MFA каждого пользовательского аккаунта;
• сведений о том, требовало ли какое-либо действие одобрения руководителя до инцидента и как этот контроль сработал;
• каждого сгенерированного, подавленного, эскалированного или пропущенного оповещения;
• поаккаунтного журнала действий по всем 130 атакованным аккаунтам;
• доказательств того, какие личные сообщения были прочитаны или сохранены;
• содержимого архивов и последующего использования данных по каждой из семи загрузок;
• полного реестра потерь жертв с разделением реальных платежей, самофинансирования злоумышленников, возвратов и последующего движения средств;
• независимо проверенного отчёта о закрытии обязательств, принятых после инцидента.

В публичных описаниях есть и терминологическое напряжение. Twitter использовал «атакованные» для 130 аккаунтов и описывал публикацию твитов, доступ к папке входящих и загрузку архивов как подмножества. NYDFS в некоторых местах называл все 130 скомпрометированными. Самая безопасная интерпретация — сохранять термин источника, а затем приводить цифры по конкретным действиям. Публичные доказательства не позволяют утверждать, что злоумышленники полностью контролировали и одинаково использовали все 130 аккаунтов.

Во время события распространялись скриншоты внутренних инструментов, а надёжные репортажи, напримеранализ рынка аккаунтов KrebsOnSecurity, помогли задокументировать экономику OG-аккаунтов и посредников. Скриншоты — не полная схема архитектуры. Надписи в интерфейсе могут раскрывать поля и возможности, но не доказывают границы бэкенд-авторизации, логирование или состояние каждого контроля.

Twitter намеренно ограничивал детали устранения последствий, чтобы сохранить их эффективность, — разумный выбор при реагировании на инцидент. Но со временем подотчётность всё равно требует доказательств, отличающих устранённую первопричину от обещания. Публичные описания ключей безопасности, сокращения доступа, обучения, учений, нового директора по информационной безопасности (CISO) и улучшенного мониторинга показывают направление. Они не показывают охват, исключения, результаты тестов или то, провалилась ли бы аналогичная передача аккаунта.

Подотчётность следует за контролем над отказавшей возможностью

Самое чистое распределение — функциональное.

Такое распределение отвергает два упрощённых вывода. Первый: в ответе пользователи, потому что предложение было очевидно мошенническим. Кто-то это распознал, кто-то — нет. Закон о мошенничестве и проектирование безопасности существуют потому, что люди действуют на основе доверенных представлений. Второй: Twitter несёт исключительную ответственность за каждый биткоин-перевод. Злоумышленники разработали и совершили мошенничество, а платёжные посредники и пользователи имели разные возможности его прервать.

Отличительная ответственность Twitter — та, которую не мог выполнить никто другой: сдерживать и наблюдать за внутренней властью, передававшей доверенные голоса.

Доказательства, которые должна уметь предоставить подотчётная платформа

Долговечный урок — не «усилить обучение» и не «использовать аппаратные ключи», хотя и то и другое может иметь значение. Урок в том, чтобы сделать высоковлиятельную административную власть измеримой. Платформа сопоставимой общественной значимости должна уметь предоставить реестр контроля, отвечающий на следующие вопросы без раскрытия деталей, которые помогли бы злоумышленнику:

Полномочия:Сколько людей и служебных аккаунтов могут просматривать непубличные данные аккаунтов, менять контактные атрибуты, сбрасывать пароли, изменять MFA, запрашивать архивы, публиковать от имени пользователей или подавлять контент? Сколько из них могут совмещать две и более из этих функций?

Цель:Привязано ли каждое привилегированное действие к обращению, нормативному основанию и авторизованной роли? Может ли оператор искать произвольные громкие аккаунты без рабочей причины? Переаттестовываются ли права доступа при смене должности?

Подтверждение:Какие доказательства требуются перед передачей аккаунта с помощью поддержки? Независимы ли они от входящего контакта? Повышается ли стандарт для государственных, экстренных, финансовых, медийных и очень крупных аккаунтов?

Согласование:Какие действия требуют согласия двух людей или отдельного сервиса? Может ли второй утверждающий видеть исходные доказательства, а не просто принимать запрос на одобрение?

Обнаружение:Какое время до обнаружения применяется к необычным изменениям аккаунтов, массовым запросам архивов, повторным обращениям к несвязанным громким аккаунтам или общим финансовым адресам назначения? Может ли мониторинг автоматически завершать сессию?

Локализация:Какие функции можно отозвать независимо? Могут ли реагирующие сохранить коммуникации общественной безопасности, заморозив рискованные действия по восстановлению? Контролируются ли каналы статуса вне подозреваемой границы идентичности?

Непрерывность:Чем пользуются государственные учреждения и клиенты с высоким влиянием, когда обычная публикация недоступна? Был ли запасной канал заранее аутентифицирован для аудитории?

Аудит:Достаточно ли полны журналы, чтобы восстановить, кто что просматривал, менял, одобрял и выгружал? Защищены ли они от того самого администратора, чьи действия фиксируют? Как долго они хранятся?

Устранение последствий:Кто проверяет, что сокращение доступа, развёртывание ключей безопасности, правила мониторинга и изменения процессов работают? Какие исключения остались? Когда проводилось последнее учение с имитацией противника?

Возмещение:Могут ли пострадавшие пользователи получить понятную историю действий, восстановить контроль, обезопасить сессии, понять возможное раскрытие данных и обратиться в обученную поддержку, не вставая в ту же очередь, что и рутинные обращения?

Метрики должны вскрывать напряжение между сервисом и безопасностью. Медианное время поддержки само по себе поощряет скорость. Число привилегированных пользователей само по себе может поощрять неизбирательные ограничения. Лучше измерять чувствительные действия по ролям, долю с независимым согласованием, заблокированные или отменённые высокорисковые изменения, доставку уведомлений владельцам, обнаруженные аномальные последовательности, удаление устаревших прав, результаты учений экстренных каналов и время предоставления пострадавшему пользователю достоверных фактов.

Настоящей потерей была неопределённость в том, кто имеет право говорить

Июльский захват 2020 года был финансово скромен по сравнению со многими более поздними киберинцидентами. Его важность — в достигнутой власти. Инструмент поддержки за облачным сервисом мог решать, кто контролирует всемирно узнаваемый голос. Когда этот процесс принятия решений был скомпрометирован, самые ценные сигналы доверия платформы заработали на злоумышленника, а самой безопасной немедленной реакцией оказалось ограничение легитимных коммуникаций для гораздо более широкой аудитории.

Twitter действительно предпринял важные действия: отозвал доступ, ограничил инструменты, восстановил аккаунты, уведомил пострадавших пользователей, сократил права сотрудников, ускорил внедрение ключей безопасности, расширил обучение и учения и нанял CISO. Финансовые компании заблокировали попытки вывода средств на сумму, значительно превышающую ту, что достигла мошеннических адресов. Следователи действовали быстро, а более поздние признания вины установили ответственность части участников.

Эти результаты не превращают событие в историю успеха. Они показывают, сколько компенсирующих усилий потребовалось после отказа одной поверхности восстановления. Сотрудники, реагирующие, владельцы аккаунтов, финансовые институты, регуляторы, правоохранители и пользователи — все поглотили издержки, созданные концентрированной властью, проектировать которую мог только Twitter.

Стандарт подотчётности поэтому прост в формулировке и труден в исполнении: власть восстановить голос должна защищаться так же тщательно, как сам голос. Для платформы, встроенной в рынки, политику, экстренную информацию и повседневную репутацию, административная поддержка — не закулисное удобство. Это часть коммуникационной инфраструктуры. Афера на 118 000 долларов сделала эту инфраструктуру видимой. Нереализованный риск — всё остальное, что та же власть могла сказать.