Twitter大规模黑客攻击或将演变成全球安全危机

北京时间7月16日午间消息，据外媒报道，比特币骗子不会是最后一个盗取认证账户的人——我们应该保持警惕，因为还会有其他人来盗取我们的账户。一切皆在意料之中。2020年7月15日的黑客攻击事件，是Twitter公司历史上最严重的一次安全破坏事件。无论公司最终怎么讲述这次事件，有一点必须承认，危机早在几年前就已经开始酝酿。

从2018年春季开始，骗子已经在冒充知名加密货币爱好者伊隆·马斯克（Elon Musk）。他们使用马斯克的头像，选择一个相似的用户名，然后发布一条仿佛天上掉馅饼一般的有效邀请：借给他一些加密货币，他会还你更多。有时候，诈骗者会回复一个已经连接且经过认证的账户（例如马斯克的SpaceX），好让假账户看上去更真实。骗子还会通过僵尸网络散播虚假推文，也是为了增加真实性。

2018年的事件让我们看到三件事。第一，总会有人上当受骗，每一次有人上当受骗，都足以激发进一步诈骗；第二，Twitter对这种威胁的处理缓慢，远不及该公司一早许下的会严肃对待这些问题的承诺；第三，诈骗者的需求与Twitter最初采取的反击措施形成一场猫捉老鼠游戏，进而鼓动不法分子采取更激进的行动来制造破坏。

于是就有了今天的最大规模攻击事件。尼克·斯塔特（Nick Statt）报道说：

“大型公司和个人的Twitter账户最近遭遇该平台上有史以来最大规模的黑客攻击。所有攻击都是为了推广比特币骗局，而且始作俑者似乎还从中赚到了一小笔钱。我们不知道攻击是如何发生的，也不知道Twitter自己的系统受到多大程度的损害。黑客似乎已经消停，但认证账号从东部时间下午四点开始陆续发布新的诈骗推文，一直持续两个多小时。沉默了一个多小时候，Twitter终于承认了黑客攻击时间，东部时间5点45分的时候在公司的用户支持账户上写道：‘我们已经获悉影响我们平台用户的安全事件。我们正在调查并积极采取措施应对攻击。我们会尽快向大家提供最新信息。’”

包括前总统巴拉克·奥巴马（Barack Obama），乔·拜登（Joe Biden），亚马逊首席执行官杰夫·贝佐斯（Jeff Bezos），比尔·盖茨（Bill Gates）和流行歌手坎耶·韦斯特（Kanye West）等人以及苹果和优步等科技公司的认证帐户受到黑客攻击。

但他们都是后来的事情。最早受到攻击的名人账户，是谁呢？伊隆·马斯克，毫无疑问。

黑客攻击的前几个小时内，上当受骗的人们一共向黑客送上了11.8万多美元。另外，黑客可能还访问了大量的个人直接消息。更令人不安的是，黑客攻击展开的速度和规模，还有更深层次的国家安全问题。

当然，最首要也是最显著的一个问题是，攻击的始作俑者是谁，他们是如何做到的？截至发稿时，我们还没有答案。根据安全记者约瑟夫·考克斯（Joseph Cox）的报道，地下黑客社区的成员之间分享的屏幕截图显示，有人可以访问Twitter内部用于管理账户的工具。考克斯写道：

“两名地下黑客社区的信源向媒体提供了一个内部控制面板的屏幕截图，据称Twitter的员工就是使用这个内部控制面板管理用户账户。一名消息人士称，Twitter的这个控制面板也用来更改某些所谓OG账户的所有权。Twitter已经删除了这些控制面板的截图，并暂停了发布这些截图的用户账户，称内容违反社区规则。”

继续揣测难免显得不负责任，但考克斯的报告至少已经说明这不是一起简单普通的黑客攻击事件。一种可能的情况是，黑客攻破了Twitter的内部工具；考克斯还提出了另一种可能，Twitter员工中有内鬼，参与了这次攻击——若果真如此，那Twitter真是年内中彩两次了。

但不管是哪种情况，Twitter对这次事件的回应带来进一步的困扰。该公司最早就此事而发布的推文基本没提到任何实质性内容，两小时后Twitter简单地表示：公司已经禁用了认证账户的发推功能，或者已经重置了他们的密码，同时公司正在努力调查攻击的根本原因。但是就在Twitter说明情况之前，许多用户已经被迫发现，他们发不出推文了。

政客、名人和国家新闻媒体这会都发不了推文倒是给Twitter省了些公关麻烦，虽然普通用户的调侃挺欢乐，但细想一下更严重的问题还在后头。Twitter，无论好坏，始终是全球最重要的通信系统之一，它的用户中有很多与紧急医疗服务机构相关。例如，伊利诺伊州林肯国家气象局在认证账户被禁言前，刚刚发布了一条龙卷风警告。那些依赖这个账号了解龙卷风后续情况的用户们，这下可能要倒霉了。

当然，Twitter禁止认证账户发言也是不得已为之。人们大概宁愿国家气象服务发不了推，也不会希望黑客把账户卖给不法分子然后后者乘机登录账户发布一些虚假信息，比如谎称龙卷费席卷了美国各大城市等等。但是用这种笨拙的方法来解决问题——禁止35.9万个认证账户中的大部分账户发布消息——反映出这次事件的影响范围之广。

然后你不由得会想，如果下一次这么干的不是贪婪的比特币骗子，而是国家级别的人物或者精神病患者，公司会采取什么样的应急措施。这次事件后，不难想象，如果有人控制了某个世界领导人的账户然后试图发动核战争，也未尝没有可能。

在这一点上，密苏里州共和党参议员乔什·霍利（Josh Hawley）在写给Twitter首席执行官杰克·多西的信中提到的内容，十分能引起共鸣。霍利说：

“我担心该事件不仅仅是一系列有计划有预谋的独立黑客攻击事件，更是对Twitter自身安全性的一次成功攻击。正如你所知，你的数百万用户不仅依赖你的服务公开发布推文，也使用你的直接消息服务私下里互相交流。对你系统服务器的成功攻击将对所有用户的隐私与数据安全构成威胁。”

不过，霍利也没有说全面。这里，不仅是用户隐私和数据安全面临威胁。更重要的是，Twitter上的冒名顶替和欺诈极有可能引起现实世界中的动乱。直到今天，我们已经看到这种假设已真实发生。随着距离2020年大选只剩不到四个月时间，天知道到底会发生什么。

接下来几天，Twitter可能会调查安全事件的起因。该公司可能无法给出完全令人满意的解释。但重要的是，Twitter及时与公众分享它对这次事件所了解到的一切——以及公司日后会采取哪些措施避免这样的事情再次发生。(小白)