据外媒消息，大规模名人 Twitter 遭骇客入侵事件水落石出，策划者为来自佛罗里达州的 17 岁少年格雷厄姆·克拉克（Grahamlvan Clark）。
▲ 格雷厄姆·克拉克。（Source：WGNTV）
两名同伙为英国人梅森‧薛博（Mason Sheppard），以及也为佛州人的尼玛·法玆利（Nima Fazeli）。目前三人均遭逮捕。
主谋克拉克面临包括诈骗罪等 30 多项重罪指控，并以成年人身份接受审判。
讯息一出，有网友调侃：
如此天才少年，应该惩罚他到国家安全局工作。
但也有网友回答，天才少年没错，不过主要还是 Twitter 安全性太差了。
至于骇客如何成功骇入名人账户，Twitter 最新官方回复为应是采取手机鱼叉式网络钓鱼攻击（phone spear phishing attack）。FBI 调查人员针对骇客攻击行为有详细说明。
骇客攻击事件回顾
7 月 15 日，Twitter 爆发史上最大规模安全漏洞事件，包括伊隆·马斯克（Elon Musk）、比尔盖兹（Bill Gates）、前总统奥巴马（Barack Obama）、总统候选人民主党乔·拜登（Joe Biden）等众多名人等 130 个 Twitter 账户均遭骇客入侵。
其中 45 位名人账户被骇并发表比特币募集推文。
推文内容大致相似：
我在回馈社会。所有传送到以下地址的比特币都会加倍寄回！如果你寄 1,000 美元，我就寄回你 2,000 美元。只有 30 分钟。
所用推文最后全部附上骇客的比特币钱包程式码。
事件一出，Twitter 官方立刻采取措施，限制部分 Twitter 账户推文和重设密码等功能，从规模和影响来看，这次骇客攻击是 Twitter 史上最大安全漏洞事件。
由于这些名人账号均有数百万粉丝，骇客精心策划的比特币骗局单日就收到超过 10 万美元比特币。
希尔斯伯勒州州检察长安德鲁·华伦（Andrew Warren）说：
骇客利用名人 Twitter，旨在从佛州等全美国人身上偷钱。这种大规模诈欺行为是精心策划的行动，我们绝不允许。
随后，美国执法部门展开调查，最后将目标锁定 17 岁克拉克、19 岁薛博和 22 岁的法玆利三人。
接受成年人审判
据调查人员介绍，他们是在 OGusers 论坛发现嫌犯的踪迹。OGusers 是骇客论坛，有许多发文、私人讯息、IP 位址、电子邮件及众多参与者的用户资讯。
Twitter 事件当天，OGusers 论坛名为“Chaewon”的账号发文，声称可变更与任何 Twitter 账户连结的电子邮件位址，价格为 250 美元，并可直接存取 2,500 美元至 3,000 美元的账户。如有需求可与 Discord 用户联系。
与此同时，OGuser 资料程式库显示，名称“Rolex”的账户表示，他可以控制注册到“Rolex＃0373”的 Discord 账户，因此，调查人员大致锁定了法玆利。
今年 2 月初，Chaewon 还有一项盗版影片游戏账户的购买记录，交易收付款地址正是此事件的比特币集群（为一组钱包，可连结到个人或实体）。调查人员使用账户 IP 位址，连结到另一名为“Mas”的 OGuser 账号，发现用户使用的电子信箱地址与薛博的账户连结。两位嫌犯已确定。
此外，对如何发现克拉克的犯罪路径，研究人员没有说明。
据 WFLA 称，检察长沃伦已对这名 17 岁少年提起 30 多项重罪指控，包括有组织的诈欺罪、17 项通讯诈欺罪、诈欺性使用个人资讯的犯罪案件、十项诈欺性使用个人资讯罪和未经授权存取电脑的罪名。由于事件的严重性，佛州法院表示，将酌情考虑以成年人标准审判。
同时，另两名成年人也会在加州接受审查，薛博被指控串谋电汇诈欺，串谋洗钱及故意存取受保护的电脑三项罪名。 法玆利被指控协助故意存取受保护电脑。
他们是如何做到的？
Twitter 最新声明指出，骇客透过鱼叉式网络钓鱼，启动内部员工登入不安全网站，泄露 Twitter 系统的存取和管理许可权。近日，首席法官马克‧拉许（Mark Rasch）详细说明骇客的攻击手段。
- 骇客透过全球最大职场社交平台 LinkedIn，取得 Twitter 员工的手机号码和其他私人联系资讯。
- 随后致电员工，透过个资与员工建立信任，并确认是否为 Twitter 系统授权人员。
- 确定后将员工引到模仿 Twitter VPN 的钓鱼页面。当目标员工进入时，攻击者便获得存取凭证。
为了绕过 Twitter 的两步骤身份验证，骇客在员工将资讯输入假 Twitter 登入页面后几秒内，便将凭证输入真实 Twitter VPN。一旦员工输入一次性密码，攻击者就跟着进入。
调查研究人员介绍，骇客计划之所以成功，武和肺炎疫情有关键作用。首先受疫情影响，大部分员工在家办公，个人装置往往无法达到公司电脑的控制和存取限制程度，另外使用的 VPN 服务，可能未经全面审核，每个员工都拥有完全存取许可权。最重要的是，在家上班阻碍了员工面对面相互验证，依赖网络或手机资讯越来越不安全。
如何预防骇客网络攻击？调查人员表示，对于如 Twitter 等技术服务商而言，最直接方法是使用硬件或证书检查，以确保单独使用窃取的凭证入侵无效。另外，公司也必须加强网络监管，了解骇客社群常用的技术，并与其他公司共享讯息。
（本文由 雷锋网 授权转载；首图来源：pixabay）
延伸阅读：
- Twitter 版“无间道”：奥巴马、盖兹等名人账号被盗，竟是因为有内鬼？
- 美国政商名人 Twitter 账号集体被骇，发出比特币两倍券骗局
