AP L'hacking di Twitter suggerisce un nuovo sguardo ai bisogni di sicurezza informatica

Ottenere hackerati su Twitter sta rapidamente diventando un rito di passaggio per le grandi società, ma l'attacco di martedì all'Associato La stampa potrebbe essere un punto di svolta e mostra che i social network devono fare di più per mantenere i loro utenti al sicuro, dicono gli esperti di sicurezza.

Uso più ampio dell'autenticazione a due fattori, che può comportare l'invio di un codice di accesso a un utente su un secondo dispositivo come uno smartphone, è una soluzione possibile. Un tale meccanismo potrebbe essere introdotto in modo selettivo, secondo alcuni esperti, per account di alto profilo come celebrità e grandi aziende.

"Twitter ha bisogno di salire a bordo e rendere l'autenticazione a due fattori disponibile … il più velocemente possibile", ha detto Andrew Storms, direttore delle operazioni di sicurezza di nCircle Security.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

L'account Twitter dell'AP è stato violato Martedì mattina, risultando in un tweet che segnalava la presenza di "due esplosioni in la Casa Bianca e Barack Obama sono feriti ". Un gruppo che si fa chiamare Esercito elettronico siriano ha rivendicato la responsabilità, tramite il proprio account Twitter.

Il tweet è stato visibile solo per pochi minuti, ma la media industriale Dow Jones ha subito un'immersione del naso subito dopo essere stata postata prima di recuperare diversi minuti dopo. A differenza di precedenti episodi di hacking, "questo ha avuto un impatto reale sui mercati", ha osservato Steve Brunetto, direttore del product management di EdgeWave, una società di social media ed e-mail.

L'AP si unisce a un elenco di aziende che sono stati recentemente violati su Twitter. Tre marchi CBS - 60 minuti, 48 ore e un'affiliata di notizie a Denver - sono stati dirottati lo scorso fine settimana. Anche il New York Times, il Wall Street Journal e il Washington Post sono stati hackerati negli ultimi mesi. A febbraio, Twitter ha annunciato che il sito stesso era stato violato.

Anche gli account Twitter di Burger King e della società automobilistica Jeep sono stati compromessi. Dopo questi incidenti, Twitter ha invitato gli utenti ad essere più intelligenti con le loro password e nel modo in cui utilizzano il sito.

Twitter è rimasto in gran parte tranquillo dopo l'attacco AP di martedì. "Non facciamo commenti sui singoli account per motivi di privacy e sicurezza", ha detto un portavoce. Ma ora potrebbe essere il momento perfetto per il social network di impiegare misure di sicurezza più severe per prevenire future violazioni dei conti, alcuni esperti hanno detto.

"Twitter ha bisogno di muoversi più velocemente nel rafforzare i suoi sforzi per la sicurezza informatica", ha dichiarato Brunetto di EdgeWave. Risher, CEO di Impermium, una società di sicurezza Internet con sede a Redwood City, in California, ha detto che pensa che Twitter stia già prendendo sul serio la sicurezza, ma l'attacco di martedì "eleva" le preoccupazioni, ha detto.

Una strategia potrebbe essere implementata da Twitter sistema di autenticazione in due fasi. In un'implementazione comune, quando gli utenti accedono al sito dal proprio laptop, Twitter invierà loro un passcode a un secondo dispositivo, come il loro telefono cellulare. Avrebbero quindi bisogno di inserire quel codice così come il loro login e password per accedere al sito.

Le richieste di Twitter per adottare un sistema di questo tipo riaffiorano ogni volta che il sito viene violato, ma l'attacco AP potrebbe diventare un punto critico, ha detto nCircle Tempeste.

Se Twitter non vuole imporre l'autenticazione a due fattori per tutti gli account, la società potrebbe richiedere solo per gli account che superano un certo numero di follower, suggerì.

La verifica in due passaggi potrebbe essere offerta a grandi marchi e ad altri importanti clienti, ha concordato Jon Oberheide, cofondatore e chief technology officer di Duo Security, che sviluppa software di autenticazione.

Ma gli account che impiegano l'autenticazione in due passaggi possono essere ancora suscettibili se coloro che utilizzano gli account sono soggetti a un attacco di phishing via email, ha detto la Risher di Impermium. "L'hacker potrebbe falsificare una pagina di accesso chiedendoti il ​​codice che hai appena ricevuto", ha detto.

In alternativa, è possibile utilizzare un attacco di phishing per installare un registratore di tasti sul computer di un utente, registrando il login e la password al successivo accesso.

In alternativa, Twitter e altri social network dovrebbero guardare più da vicino come gli utenti interagiscono con i loro servizi e guardare i segnali che potrebbero indicare attività non autorizzate, ha detto Risher, la cui azienda sviluppa algoritmi per identificare tale attività. Ad esempio, potrebbe interessare il modo in cui gli utenti interagiscono con i contenuti e quanto spesso twittano e vengono ritwittati.

Twitter potrebbe anche utilizzare un metodo di autenticazione basato sul rischio, chiedendo agli utenti domande di identificazione personale quando accedono da un computer non familiare, per esempio.

Gli utenti potrebbero fare di più per salvaguardare i propri account sui social media, comunque. Utilizzare password più forti, cambiarle frequentemente e proteggere le reti Wi-Fi con password sono tutte pratiche raccomandate. Avere una password debole potrebbe aver giocato un ruolo nella violazione dell'account dell'AP. L'esercito elettronico siriano ha twittato la presunta password "APm @ rketing" più tardi questo pomeriggio.

Ma l'onere dovrebbe essere sui siti di social media per garantire la sicurezza dei conti dei loro utenti, ha detto Risher. "Dovrebbe essere come uno split 80/20", ha detto, aggiungendo che "la parte del leone del lavoro dovrebbe essere fatta dai siti".

Apple, Facebook e Google sono tra le aziende che offrono già due passaggi autenticazione come opzione per gli utenti.

Twitter è un grande bersaglio per le violazioni a causa della sua immediatezza, ha detto Obenhaim. Uno degli scopi principali di Twitter è diffondere le informazioni quasi in tempo reale, ad esempio, mentre le pagine aziendali su Facebook sono spesso meno attive.

Altre idee che sono state diffuse per tenere gli account e identificano la sicurezza online includono l'uso di "fisico" password, che potrebbero assumere la forma di un gioiello. In un documento di ricerca pubblicato a gennaio, Google ha dichiarato che le strategie attuali, incluso il sistema di verifica in due fasi, sono insufficienti.

La posta in gioco di martedì è in aumento quando si parla di sicurezza informatica. "La diffamazione del marchio o del personaggio non è più l'unico risultato", ha detto nCircle's Storms.

Pubblicare tweet fittizi sul comportamento oltraggioso dei dipendenti di Burger King è una cosa, ma twittare che il presidente è stato ferito a seguito di un'esplosione alla Casa Bianca "possono avere un impatto grave" più in generale, ha notato la Duo's Oberheide.

Tali hack sono anche più significativi da quando la Securities and Exchange Commission degli Stati Uniti ha detto che avrebbe permesso alle aziende pubbliche di divulgare informazioni aziendali sui siti di social media. La SEC ha rifiutato di commentare Martedì sugli AP e altri recenti hack di Twitter.

Zach Miners copre notizie di social networking, di ricerca e di tecnologia generale per IDG News Service. Segui Zach su Twitter all'indirizzo @ zachminers. L'indirizzo e-mail di Zach è [email protected]