Twitter表示已修补短信攻击漏洞

twitter

资深安研究人员Jonathan Rudenberg周一(12/3)指出，如果用户在Twitter个人资料中公布手机号码，很容易遭他人使用短消息(SMS)进行攻击，隔日Twitter表示已经修补此问题。

Twitter允许用户利用手机传送短信到Twitter的代表门号来使用许多指令，包含追踪、取消追踪、发布消息、转推信息、修改个人资料等。早期许多用户利用短信操作Twitter，但在改用智能手机之后已经不再通过短信操作，却未取消设定。 在部分国家Twitter与电信厂商合作使用特殊的短信号码，用户如果使用该电信厂商的号码，在Twitter帐号内设定手机号码之后，可以通过该短信号码操作。其他的号码则必须传送到位于英国、德国及芬兰的三个标准号码。 问题是目前许多方法可以轻易变更短信发出的号码，例如欧洲地区发出一则伪装成其他号码短信的费用仅需0.07欧元，所以当用户在Twitter个人资料中公布手机号码，即使无法取得用户的手机，也很可能被他人冒名使用。 Facebook及付款机制Venmo也有类似的问题，但在接获研究人员的报告之后，分别于8月及11月修补该问题，唯有Twitter尚未解决，因此研究人员决定直接公开此问题，Twitter隔日(12 /4)以电子邮件表示问题已经解决。 但Jonathan Rudenberg认为这样的机制仍无法保护合作电信厂商之外的用户，并建议用户关闭Twitter的短信操作功能，若真有必要开启，则建议使用者添加一个4位数PIN码作为保护，不过该PIN码保护模式不适用于美国地区。