Twitter no aclara si los atacantes accedieron a los mensajes privados de las cuentas que usurparon

El pasado miércoles, cerca de una docena de cuentas de Twitter de grandes marcas y personalidades como Elon Musk, Bill Gates o Jeff Bezos comenzaron a enviar tuits promocionando una estafa.

Esto obligó a la compañía a bloquear temporalmente todas las cuentas verificadas, impidiendoles publicar tweets, para frenar la difusión de la estafa, ..

Twitter ha dicho ahora que «no hay pruebas» de que los atacantes obtuvieran las contraseñas de las cuentas de las que consiguieron tomar control el pasado miércoles.

En una serie de tweets del jueves – casi exactamente un día después de que el secuestro masivo de cuentas comenzara – el gigante de los medios sociales dijo: «No tenemos pruebas de que los atacantes hayan accedido a las contraseñas. Actualmente, no creemos que sea necesario restablecer la contraseña».

Lo más probable es que los atacantes consiguieran cambiar la dirección de e-mail asociada a las cuentas atacadas y que, a partir de ahí, solicitaran una nueva contraseña que les llegó a su propio correo electrónico. De ser así, no conocerían la contraseña que estaba previamente.

«Por precaución, y como parte de nuestra respuesta a los incidentes de ayer para proteger la seguridad de las personas, tomamos la medida de bloquear cualquier cuenta que haya intentado cambiar la contraseña de la cuenta durante los últimos 30 días», dijo. «Como parte de las medidas de seguridad adicionales que hemos tomado, es posible que no haya podido restablecer su contraseña. Aparte de las cuentas que siguen bloqueadas, la gente debería poder restablecer su contraseña ahora».

Twitter dijo que está «trabajando para ayudar a la gente a recuperar el acceso a sus cuentas» después del incidente de seguridad. Muchas cuentas de alto perfil, incluyendo las de las organizaciones de noticias, seguían con sus cuentas bloqueadas el jueves por la mañana. Algunas siguen bloqueadas y no pueden twittear.

Twitter confirmó que los atacantes lanzaron un «ataque coordinado de ingeniería social dirigidos a algunos de nuestros empleados con acceso a sistemas y herramientas internas».

Pero aún quedan preguntas sobre cuánto acceso obtuvieron los atacantes, o si pudieron leer los mensajes privados directos de los usuarios.

Ron Wyden, un senador demócrata, dijo en un comunicado que en una reunión privada en 2018, el director ejecutivo de Twitter, Jack Dorsey, dijo que la compañía «estaba trabajando en mensajes directos cifrados de extremo a extremo», un tipo de cifrado que impediría incluso a Twitter leer los mensajes de los usuarios.

«Han pasado casi dos años desde nuestra reunión, y los DM de Twitter todavía no están cifrados, dejándolos vulnerables a los empleados que abusan de su acceso interno a los sistemas de la compañía, y a los hackers que obtienen acceso no autorizado», dijo Wyden. «Aunque todavía no está claro si los atacantes que están detrás del incidente de ayer obtuvieron acceso a los mensajes directos de Twitter, se trata de una vulnerabilidad que ha durado demasiado tiempo y que no está presente en otras plataformas competidoras».

«Si los atacantes obtuvieran acceso a los mensajes directos de los usuarios, esta brecha podría tener un impacto impresionante, en los años venideros», dijo el legislador.