推特前安全主管控诉存在 "令人震惊"的安全漏洞

安全 移动安全
推特前安全主管Peiter Zatko向美国证券交易委员会(SEC)、联邦贸易委员会(FTC)和司法部提交了一封举报文件。

据《华盛顿邮报》 8月23日报道,推特前安全主管Peiter Zatko向美国证券交易委员会(SEC)、联邦贸易委员会(FTC)和司法部提交了一封举报文件。在文件中,Zatko控诉推特在安全实践中存在“令人震惊的”漏洞,在安全、隐私和内容审核方面存在“严重缺陷”。他还认为,推特高管在联邦监管机构面前谎报安全实力。

Zatko是著名黑客,于2020年底被推特招揽担任安全部门主管。几个月后,黑客劫持了若干世界名人的推特帐户,包括乔·拜登(Joe Biden)和埃隆·马斯克(Elon Musk)。2022年1月,他被推特解雇,任职不到两年。

关于名人推特帐户被盗事件,举报文件中称,黑客的招数非常简单,“黑客假装是推特的IT支持,给一些员工打电话,要求他们提供密码。一些员工上当受骗并提供了密码,而且由于推特访问控制的系统缺陷,手持凭证的黑客可以畅通无阻,入侵任何帐户。”

推特否认上述指控,称Zatko今年1月是因领导不力和表现不佳而被解雇。推特称,安全和隐私一直是推特的优先事项和长期目标。

安全控制差,数据未加密

《华盛顿邮报》报道,Zatko今年早些时候向联邦贸易委员会、证券交易委员会和司法部提出了申诉,申诉文件长达84页。

代表Zatko的“吹哨人”援助组织律师John Tye向哥伦比亚广播公司(CBS)表示,“他非常担心,以至于他冒着可能危及他未来职业生涯的风险,告知监管机构、国会、公众他所发现的漏洞的危害。"

"他在推特发现的东西与其他公司的情形都不一样,"Tye补充,Zatko的代号Mudge,他以前曾在谷歌、Stripe和国防高级研究计划局工作过。

Zatko称,推特的内部安全控制很差,该公司1万多名员工中,有多达一半的人可以接触到敏感的用户数据。数千名员工的电脑包含推特源代码的完整副本,30%的员工电脑关闭了自动安全更新和系统防火墙,还未经批准启用了远程桌面访问。同时,推特没有员工电话管理系统。

他还表示,推特在用户注销帐户后没有完全删除用户数据,在某些情况下推特已经失去了对信息的追踪能力,因此推特在是否按要求删除数据方面误导了监管机构。此外,推特许多存储和处理用户信息的数据中心不支持数据加密。

根据推特2011年与联邦贸易委员会的和解协议,推特被要求维持一个“全面的信息安全计划”,但Zatko称,"推特从来没有遵守2011年与联邦贸易委员会的和解协议。"

“仅在2020年,推特就发生了40多起安全事件,其中70%与访问控制有关,”文件中写道。

除了控诉推特公司网络安全存在严重缺陷外,Zatko还表示印度政府强迫推特雇用其一名代理商。

Zatko还声称,推特公司雇用了外国间谍,他引用了一个美国政府消息来源的说法,即 "某位或多位雇员为另一个外国情报机构工作"。

无力清理平台垃圾账户

除了对安全松懈的指控,这项指控还呼应了埃隆·马斯克(Elon Musk)对该平台被机器人占领的批评,称高管们无法知道哪些账户是假的。

投诉中称,推特无意清理或没有能力清理平台上的僵尸和垃圾邮件账户,而且它对用户的个人身份信息管理不善,经常出现安全漏洞。

今年早些时候,马斯克曾出价440亿美元收购Twitter,但在今年7月撤回了收购要约。但法律程序上是否要求马斯克如约完成收购案,将在10月进行审判。

Zatko在投诉中称:“无知是高管领导团队的常态。”公司甚至无法提供垃圾邮件和机器人账户的具体数目。他声称,负责网站完整性的团队不知道如何检测机器帐户,忙于内部闹剧,公司也没有动力去管控机器帐户。

Zatko声称,Twitter使用的一种内部验证方法,但经常被禁用,每个月挫败了多达1200万个机器人。该投诉称,2021年,Twitter创建了一种奖金结构,员工可以获得高达1000万美元的奖金,以短期增加可盈利的日活跃用户(mDAU),但减少平台上的垃圾邮件并不在奖励范围内。

推特向监管机构表示,平台的日活跃用户中只有不到5%是机器人。然而,Zatko表示这是一个谎言,因为mDAU指标的设计已经排除了机器人和其他垃圾邮件账户。

美国参议院情报委员会发言人雷切尔·科恩(Rachel Cohen)说,委员会已经收到了起诉书,并“正在安排一次会议,进一步讨论指控的相关细节,我们会认真对待这件事。”

责任编辑:未丽燕 来源: FreeBuf.com
相关推荐

2020-10-29 05:54:23

推特黑客网络攻击

2022-09-30 11:14:21

推特公司漏洞

2023-12-29 15:00:12

漏洞安全人工智能

2010-03-22 09:33:21

2011-01-11 13:10:36

AMDCEO辞职

2009-09-17 12:51:04

2014-02-14 15:44:46

2010-07-30 16:02:56

2012-07-19 09:41:18

邮箱泄露安全漏洞

2023-09-28 10:39:40

2009-11-06 10:09:55

2021-12-13 20:01:23

漏洞网络安全数据泄露

2014-06-03 09:23:41

2015-02-10 09:23:15

2009-12-04 19:14:50

2012-06-08 10:32:33

2015-08-04 09:56:48

2010-06-08 21:14:35

2010-09-29 14:05:23

2010-07-26 15:37:12

telnet安全漏洞
点赞
收藏

51CTO技术栈公众号