Estafa de bitcoin en Twitter de 2020 (15 de julio de 2020)

Cómo funcionó el ataque

Los investigadores concluyeron que el acceso indebido se logró mediante ingeniería social para obtener acceso a las herramientas internas de Twitter, y no mediante una simple vulneración de contraseñas. Los atacantes persuadieron o engañaron a empleados para que les concedieran control de los sistemas de gestión de cuentas; posteriormente utilizaron esas herramientas para restablecer la configuración de las cuentas y publicar desde perfiles verificados. Todos los tuits de la estafa contenían una redacción similar y las mismas instrucciones para enviar bitcoin a una billetera controlada por los responsables.

Alcance y objetivos

Se explotaron numerosas cuentas conocidas y verificadas, lo que amplificó el fraude en cuestión de minutos. Entre los ejemplos había políticos, líderes empresariales, celebridades y perfiles corporativos. La visibilidad de estas cuentas hizo que la estafa fuera inusualmente efectiva y puso de relieve los riesgos de los controles centralizados de cuentas.

Consecuencias inmediatas

• Muchas cuentas comprometidas fueron bloqueadas temporalmente o se les deshabilitó la publicación mientras Twitter trabajaba para recuperar el control.
• Las víctimas que enviaron fondos a la dirección de bitcoin anunciada perdieron dinero; los investigadores informaron de que la billetera recibió una cantidad modesta de bitcoin antes de la intervención de las autoridades.
• Twitter restringió el acceso a las herramientas internas e implementó cambios técnicos y de políticas para evitar intrusiones similares.

Secuelas e importancia

Las autoridades detuvieron e imputaron a varias personas en relación con el ataque. El hecho suscitó un debate sobre las prácticas de seguridad de las plataformas, las amenazas internas y la intersección entre las redes sociales y el fraude con criptomonedas. También llevó a muchas empresas tecnológicas a revisar los controles de acceso de los empleados, los métodos de autenticación y los procedimientos de respuesta ante incidentes, con el fin de reducir el riesgo de futuras tomas masivas de cuentas.