Twitterhacks

Nachdem vorige Woche die sog. Syrian Electronic Army (SEA) mit einem gehackten Twitteraccount der Nachrichtenagentur AP für Unruhe bis auf die Wallstreet sorgte, hat es nun den Guardian getroffen. Nach einer weiteren Phishing-Attacke, fielen der SEA gleich 11 Twitteraccounts in die Hände, von denen sie dann wieder gefälschte Tweets absetzten (diesmal allerdings nicht so dramatisch wie im Falle von AP).

Während man bei Twitter also immer noch dabei ist, die ganz offensichtlich dringend benötigte two-factor authentication zu basteln, es aber ebenso offensichtlich einfach nicht hinbekommt, fallen die nächsten Accounts in die Hände der SEA. Und das, wo inzwischen klar ist, dass ein einziger gutplatzierter, aber falscher Tweet, die Börsen in Aufregung versetzen kann. Offenbar ist man sich im Hause Twitter seiner Verantwortung noch nicht ganz bewusst, aber es ist ja auch noch nicht der Account von Justin Bieber gehackt worden. Dann würde man wahrscheinlich eher reagieren.

Zu einem gehackten Twitteraccount gehören aber natürlich auch immer zwei Dumme, neben dem Anbieter, der sich nicht um Sicherheit schert, natürlich auch derjenige, der sich sein Passwort entlocken lässt. In beiden Fällen (Guardian und AP) wird in den Medien gerne über cleverly-disguised phishing emails berichtet.

The guys doing the Guardian phishing attack I mentioned yesterday (it's SEA) are really very good: sustained, changing, mails today.

— James Ball (@jamesrbuk) 29. April 2013

Sicher ist aber schonmal eines: alle Zukunftsromane über den Cyberwar und seine Auswirkungen auf Wirtschaft und Gesellschaft sind alle wahr.

Update: Offenbar hat man bei Twitter auch inzwischen zumindest ratgebenderweise reagiert:

According to Twitter, the hacking incidents seem to be the result of phishing attacks targeted at corporate email accounts. Twitter suggests that companies employ a pretty standard set of password security practices in response: changing current passwords, using new ones that are at least 20 characters long and are made up of either randomly-generated characters or random words, and to never email said passwords, even internally (programs like 1Password are mentioned as good solutions to ensure password security).