PayPal и GoDaddy помогли хакеру украсть Twitter-аккаунт ценой в $50000

Naoki Hiroshima
рассказал
, как из-за небрежности и безответственности PayPal и GoDaddy он потерял Twitter-аккаунт @N (из одной буквы), за который ему когда-то предлагали $50000.

По словам Naoki, атаки на этот аккаунт проводились постоянно и сообщения со ссылкой на сброс пароля регулярно падали в его почтовый ящик. Однако в последний раз атакующему удалось получить заветный юзернейм.

Сперва атакер получил доступ к домену, зарегистрированному через GoDaddy и изменил там всю контактную информацию, включая привязку новой платежной карты. Когда Naoki попытался восстановить контроль, то в GoDaddy не стали разбираться и вежливо послали старого владельца. Подключение знакомых, знакомых с executive-менеджментом GoDaddy не помогло.

Целью захвата домена был доступ к e-mail адресам на этом домене. Но так как MX домена обновляется не сразу, то атакер не успел сбросить пароль в Twitter, потому что Naoki Hiroshima поменял адрес в Твиттер-аккаунте. А вот контроль над Facebook-акканутом атакер получил.

Затем атакующий вышел на контакт с жертвой и предложил «компромисс»: он вернет жертве контроль над доменом и сохранит всю информацию на сайте (который, видимо. тоже хостился в том же аккаунте, что и домен) и расскажет, как получил контроль над доменом, в обмен на @N. Уже получив отказ от GoDaddy, Naoki Hiroshima подумал, что в случае чего от поддержки Twitter тоже помощи не дождешься и согласился.

По словам атакующего, сперва он позвонил в PayPal и, представившись сотрудником PayPal , узнал 4 цифры кредитки жертвы. Затем, имея эти цифры, он позвонил в GoDaddy и там, хотя по регламенту требуется 6 цифр, согласились на 4.

То есть, вывод простой: в 2014 году, когда каждая интернет-компания заявляется, что аж кушать не может, как постоянно думает о безопасности, хакер с навыками социальной инженерии может позвонить в эти компании и узнать персональную и платежную информацию третьего лица. А затем с этой информацией на руках получить доступ куда угодно. Это, естественно, не первый случай. Не так давно аналогичный случай был с Amazon WS.