製造Twitter史上最大規模入侵事件的駭客落網了。
那是Twitter最黑暗的一天。美國前總統歐巴馬、股神巴菲特、微軟創辦人比爾.蓋茲、矽谷鋼鐵人馬斯克、世界首富貝佐斯等,美國重量級政商名流的Twitter帳號集體被盜,並且發送了一條比特幣詐騙訊息。
這次的駭客攻擊讓Twitter的安全系統變成了一個笑話。如今被抓獲,他們竟然分別是三名青少年:
- Graham Ivan Clark,事件的核心人物,居住在佛羅里達州,暱稱為「Kirk」的駭客,現年17歲。
- 美國的Nima Fazeli,化名「Rolex」,居住在佛羅里達州,現年22歲。
- 英國的Mason Sheppard,化名「Chaewon」,現年19歲。
而他們是如何完成了這場Twitter史上最大的駭客攻擊?卻又被抓獲的呢?
駭客落網
雖然這些駭客少年掌握了「核子武器」一般的力量,他們卻用來騙取比特幣。
加密貨幣號稱難以追蹤交易,但在加密貨幣交易所驗證身份卻需使用身份證件,美國調查部門便是從這裡找到了漏洞。
美國聯邦調查局表示,他們發現Sheppard使用了個人駕駛執照在Binance和Coinbase這兩家加密貨幣交易所進行身份驗證,並且發現他的帳戶已經發送和接收了一些騙取來的比特幣。
Fazeli也使用駕照向Coinbase進行身份驗證,調查稱他以化名「Rolex」控制的帳戶收到付款並換取被盜的Twitter用戶帳號。
調查部門還從Coinbase獲得了這些駭客所涉足的比特幣地址資訊,以及過去三名駭客在網路論壇Discord聊天和OGUsers論壇貼文中使用、提及的地址。
聯邦調查局對三個數據來源進行比對、追蹤三個網站上的駭客身份,並將它們連接到電子郵件和IP位址。
Fazeli在掩飾身份的方面還犯下了許多錯誤。首先,他使用一個郵件地址在OGUsers論壇上註冊了一個帳戶,使用另一個郵件地址來劫持Twitter帳號。
然而,他還使用相同的兩個電子郵件地址註冊Coinbase帳戶,隨後用駕照相片進行了驗證。
此外,Fazili還使用其家庭網路來連接三個網站上的帳戶,將其家庭IP地址保留在所有的紀錄中。
Sheppard也是如此,他化名Chaewon加入網路論壇OGUsers。他在駭客事件當天於網站上發布貼文,調查部門能夠將Sheppard的Discord用戶與其OGUsers用戶連結起來。
調查部門還透過OGUsers洩露的數據庫得到了確認,他們發現Chaewon在這裡購買了影音遊戲帳號,其比特幣地址與Twitter駭客當天使用的地址有關聯。
十七歲少年的騙術
在三名少年中,駭客事件的核心人物是Clark,他成功獲取了控制Twitter帳號的內部工具。
這名少年並非具有高超的電腦技術,而是擁有超出他年齡的騙術能力。
根據Twitter發布的訊息,Clark使用「電話釣魚」的詐騙形式,推測先是騙取一些Twitter員工的內部網路權限,進而了解Twitter內部的運作流程,並鎖定了有帳號控制工具的員工。
接著,他又藉助這些Twitter內部資訊,成功向第二批員工騙取了控制帳號工具的權限。消息稱他說服了一名曾在Twitter IT部門工作的員工,並欺騙了該員工給他提供權限。
然後,Clark進一步入侵大量政商名流的帳號,並在他們的Twitter帳戶上發布了一條詐騙訊息:如果將比特幣發送到帳戶,就雙倍返還給受害者。
獲得帳號權限後,Clark開始在網路論壇上出售Twitter帳號。Sheppard和Fazeli就是在此期間購買了帳號。
而Clark將騙取的資金轉移到另一個帳戶,實施詐騙期間獲得了大約117,000美元(約350萬台幣)。
據Twitter公布的調查結果:
駭客使用竊取工具鎖定130個Twitter帳號,用45個帳號發布推文,連接36個帳號的站內信箱,並下載了7個帳號的數據。
《紐約時報》調查發現,17歲的Clark也曾在微軟的遊戲Minecraft中騙取其他玩家的錢。而他的律師則稱,這名少年擁有價值超過300萬美元(約8,700萬台幣)的比特幣,並否認這些財富是透過詐騙獲取的。
超越年齡的重罪
儘管他們只是騙取比特幣,但他們所控制的名人帳號,真實力量足以擾亂金融市場,甚至有可能掀起社會混亂。
不論如何,他們都讓Twitter的安全系統變成了一個笑話。
Fazeli被判處五年徒刑和25萬美元(約730萬台幣)罰款。Sheppard被指控犯下電腦入侵、電信詐騙罪和洗錢罪,其中最嚴重的罪名在美國應判20年徒刑和25萬美元罰款。
罪魁禍首Clark目前已經入獄,並被指控犯下30項重罪,包括有組織的詐欺、通訊詐欺、身份盜竊和駭客攻擊等。
他被作為成年人指控——該案的檢察官表示:「這不是一個普通的17歲少年。」並且在新聞記者會中明確表示,執法部門正在衡量駭客入侵的嚴重後果。
法官決定將保釋金定為每一項罰款25,000美元,29項罰款總計72.5萬美元(約2,100萬台幣)。對於第30條指控,法官下令,如果Clark保釋,除了看醫生或律師之外,他必須戴上電子監控並限制於家中。
同時,法官也禁止他使用任何設備上網,並命令他如果擁有護照,必須交出護照。
Clark還沒有認罪,他的騙術細節也仍在調查之中。但從這次案件中可以看出,可怕的不是技術,而是人心。
責任編輯:文潔琳、蕭閔云
本文授權轉自:品玩PingWest