La crisi di Twitter: dopo Musk le gravi accuse dell’ex capo della sicurezza Peter Zatko (Mudge dei L0pht)

L’ex capo della sicurezza di Twitter, Peter Zatko, ha affermato che Twitter ha spie dalla Cina e dall’India e che i problemi di sicurezza su Twitter minacciano la sicurezza nazionale degli Stati Uniti.

Lo scandalo che circonda le dichiarazioni di Peiter Zatko (Peiter “Mudge” Zatko) è iniziato alla fine di agosto di quest’anno. Zatko, il quale è stato il capo della sicurezza di Twitter da novembre 2020 a gennaio 2022, è andato al governo degli Stati Uniti e ha presentato un enorme rapporto di 84 pagine al Congresso in cui spiegava quanto fosse terribile la situazione della sicurezza di Twitter.

Hanno fatto colpo le dichiarazioni di Zatko che ne hanno parlato i principali media americani, tra cui CNN e Washington Post, e Twitter, attorno al quale si è concentrata molta attenzione per via dell’accordo con Elon Musk, è stato nuovamente al centro dello scandalo.

Il fatto è che le rivelazioni di Zatko non sono state praticamente messe in discussione subito per diversi motivi. In primo luogo, ha una lunga e meritata reputazione di hacker etico, e ha collaborato con il governo degli Stati Uniti su molti progetti di sicurezza informatica (e sua moglie è un’ex dipendente della NSA).

In secondo luogo, il calo della qualità della moderazione su Twitter negli ultimi mesi è stato notato da quasi tutti. L’azienda sembra essere alle prese con massicce campagne di disinformazione, bot e vari abusi. E molti, come Zatko, credono che le cose siano peggiorate da quando Parag Agrawal è stato nominato CEO di Twitter nel novembre 2021.

Ad esempio, il Transparency Center di Twitter non ha pubblicato nuovi rapporti da dicembre dello scorso anno. E il nuovo approccio alla moderazione dei messaggi e alla gestione dei reclami ha portato al fatto che la piattaforma non risponde nemmeno alle minacce di morte, alle richieste di genocidio e alle frodi. 

Questo problema è stato trattato da CBS News in estate, dopo che il vicepresidente degli Stati Uniti Kamala Harris ha ricevuto minacce e insulti da migliaia di account Twitter, ma non sono seguiti blocchi o procedimenti.

Le tesi principali nel rapporto di Zatko presentato al Congresso sono le seguenti:

• Twitter non ha un normale controllo degli accessi, non ha nessun ambiente di test e la maggior parte degli ingegneri ha accesso costante all’ambiente di produzione e ai dati degli utenti.
• Twitter non tiene un registro di ciò che gli ingegneri cambiano nell’ambiente di produzione o di chi accede a cosa.
• Circa la metà dei 500.000 server di Twitter esegue software obsoleto che manca anche delle funzionalità di sicurezza di base (inclusa la crittografia dei dati) e non riceve aggiornamenti regolari.
• Twitter non è in grado di eliminare i dati dell’utente se l’utente richiede la cancellazione e desidera chiudere il proprio account. Ciò è dovuto principalmente al fatto che i dati vengono distribuiti attraverso i sistemi interni dell’azienda, e quindi è difficile anche rintracciarli.
• Twitter sta esaurendo l’hardware ridondante e le procedure per il ripristino da potenziali interruzioni del data center, mettendo a rischio i dati sensibili degli utenti.
• Il governo indiano ha costretto Twitter ad assumere agenti dal loro paese, che hanno ottenuto l’accesso a un’enorme quantità di dati degli utenti di Twitter.
• L’attuale CEO dell’azienda, Parag Agrawal, era pronto a soddisfare la richiesta delle autorità russe e a censurare i contenuti di Twitter.
• I dirigenti di Twitter hanno sempre privilegiato la crescita degli utenti rispetto alla sicurezza, in quanto ciò potrebbe far guadagnare loro fino a 10.000.000 di bonus. Ciò ha comportato che la direzione non fosse interessata a misurare il numero di bot sulla piattaforma e la divulgazione di tali numeri avrebbe probabilmente danneggiato le azioni della società.
• Il capo di Twitter ha provato a disabilitare la funzione di sicurezza ROPO, che mette gli account in modalità di sola lettura fino a quando non passano attraverso il processo di verifica del numero di telefono. Questa funzione è stata creata per combattere gli spambot.
• Alle spalle di Zatko, i dirigenti di Twitter hanno cercato di sbarazzarsi di un rapporto sulla propaganda statale attiva e le campagne di disinformazione su Twitter, che è stato compilato da una società di consulenza esterna su richiesta dello stesso Zatko.
• Twitter non ha rispettato i requisiti del governo e ha mentito alle autorità di regolamentazione sulle sue misure di sicurezza e sulla capacità di proteggere i dati degli utenti.
• Zatko afferma che gli è stato detto di selezionare con cura e distorcere i dati per creare una falsa impressione sui progressi della sicurezza informatica quando doveva riferire al consiglio di amministrazione.
• La direzione di Twitter ha tentato di nascondere o travisare i rapporti di Zatko ad altri membri del consiglio.
• Zatko afferma di essere stato licenziato dopo aver segnalato i problemi di sicurezza e frode alla direzione di Twitter e si è anche lamentato delle violazioni con un responsabile della conformità.

Il rapporto di Zatko suggerisce che Parag Agrawal ha mentito alle autorità di regolamentazione, al suo stesso consiglio di amministrazione, non ha combattuto i bot, non ha risolto problemi di sicurezza e ha permesso ai servizi segreti stranieri di infiltrarsi nell’azienda. Tale problema è principalmente la causa della crisi di Twitter.

Allo stesso tempo, secondo lo stesso Agrawal, Zatko semplicemente non ha fatto bene il suo lavoro e ora sta cercando di incolpare Twitter per i suoi stessi fallimenti. Inoltre, l’azienda ha sottolineato che molti dei problemi di cui ha scritto Zatko sono stati risolti da tempo.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.