8 月 30 日，Twitter 创办人兼首席执行官多西（Jack Dorsey）的官方 Twitter 账号遭骇客攻击，他的 Twitter 上充斥着种族歧视字眼、反犹太言论和更具攻击性的内容，震惊了他的粉丝。这次骇客攻击似乎来自上周攻击 YouTube 名人 Twitter 账号的同一组织，受攻击名人包括美妆影片部落客詹姆士查理斯（James Charles）、美国网红始祖谢恩多森（Shane Dawson）及喜剧演员金巴赫（King Bach）。
30 日下午，Twitter 大家长多西的 420 万 Twitter 追随者收到了令人不快的惊吓推文。一群网络破坏者获得了该账号的存取权限，并使用该存取权限为他们团队的 Discord 语音频道爆发了一系列令人反感的讯息和插件。
在 15 分钟内，该账号重新受到控制，而该攻击团队被 Discord 禁用，但该事件提醒了人们，即使是最知名的账号之中也可能存在严重的安全漏洞，以及电话式身份验证的不安全性。
骇客是透过 Twitter 的文字转推文（text-to-tweet）服务骇入账号的，而文字转推文服务目前则由 Twitter 所收购的 Cloudhopper 负责维运。使用 Cloudhopper，Twitter 使用者就可以透过将简讯经由一组短码数字（通常是 40404）来发布推文。这对于简易型手机（例如没触控屏幕的功能手机）来说是一个很有用的技巧，或者是使用者无法存取 Twitter 应用程序的时候。
该系统只需要将你的电话号码连结到你的 Twitter 账号，这点大多数使用者早已基于不同的安全理由而这么做了。因此，只要控制你的电话号码通常就足以在你的账号上发布推文，而大多数用户对此并不知情。
骇客用的是资安界早已熟悉的攻击手法 之前多西账号就被骇过了
事实证明，控制多西的电话号码并不像你想像的那么难。根据 Twitter 官方的一份声明，供应商的“安全监管”让骇客获得了控制权。一般来说，这种攻击被称为 SIM 卡入侵攻击（SIM Hacking），基本上就是说服电信商将多西的电话号码分配给骇客所控制的新手机上。
这并不是一项新技术，尽管它更常被用来窃取比特币（Bitcoin）或高价值通用所有社交平台的 Instagram 统一账号（IG handle）。通常，这就和输入一个泄漏的密码一样简单。你可以透过在电信商账号中新增个人识别码（PIN）或使用假电话号码来注册像是 Twitter 等网络账号来保护自己，但这些技术对一般使用者来说要求太高了。因此，SIM 卡的盗换已经成为线上麻烦制造者最喜爱的技术之一，正如我们今天发现的，其泛滥的程度比你想像的更高。
任何让用户更容易发推文的系统，也会让骇客更容易控制账号。2016 年，多西也遭遇了类似的攻击，该攻击充份利用了授权的协力厂商插件，这些插件经常开发中止被弃用，但仍保留了可发送推文至账号的许可权。随着SIM 卡盗换技术得到更广泛的理解，这种技术变得不那么突出了，但偷渡式（Drive-by）恶意攻击的基本目标并没有太大的改变。
尽管如此，这个事件着实令 Twitter 感到颜面无光，原因并不仅在于该公司正急于夺回 CEO 账号的控制权。毕竟整个资安界多年来早就知道 SIM 卡盗换攻击的手法，而且多西的账号也曾遭到破坏。未能确保首席执行官账号控制安全的简单疏忽，对于该公司来讲无异是个重大失误，其影响远远不只几分钟的混乱而已。希望 Twitter 能从这次事件中汲取教训，优先加强安全措施，甚至可将 Twitter 的简讯验证机制加以移除。
- The frighteningly simple technique that hijacked Jack Dorsey’s Twitter account
- Hackers cracked Jack Dorsey’s Twitter account using a very simple technique
（首图来源：cellanr [CC BY-SA 2.0], via Wikimedia Commons）
