La crisi di Twitter: dopo Musk le gravi accuse dell’ex capo della sicurezza Peter Zatko (Mudge dei L0pht)

Redazione RHC : 24 Settembre 2022 08:00

L’ex capo della sicurezza di Twitter, Peter Zatko, ha affermato che Twitter ha spie dalla Cina e dall’India e che i problemi di sicurezza su Twitter minacciano la sicurezza nazionale degli Stati Uniti.

Lo scandalo che circonda le dichiarazioni di Peiter Zatko (Peiter “Mudge” Zatko) è iniziato alla fine di agosto di quest’anno. Zatko, il quale è stato il capo della sicurezza di Twitter da novembre 2020 a gennaio 2022, è andato al governo degli Stati Uniti e ha presentato un enorme rapporto di 84 pagine al Congresso in cui spiegava quanto fosse terribile la situazione della sicurezza di Twitter.

Hanno fatto colpo le dichiarazioni di Zatko che ne hanno parlato i principali media americani, tra cui CNN e Washington Post, e Twitter, attorno al quale si è concentrata molta attenzione per via dell’accordo con Elon Musk, è stato nuovamente al centro dello scandalo.

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il fatto è che le rivelazioni di Zatko non sono state praticamente messe in discussione subito per diversi motivi. In primo luogo, ha una lunga e meritata reputazione di hacker etico, e ha collaborato con il governo degli Stati Uniti su molti progetti di sicurezza informatica (e sua moglie è un’ex dipendente della NSA).

In secondo luogo, il calo della qualità della moderazione su Twitter negli ultimi mesi è stato notato da quasi tutti. L’azienda sembra essere alle prese con massicce campagne di disinformazione, bot e vari abusi. E molti, come Zatko, credono che le cose siano peggiorate da quando Parag Agrawal è stato nominato CEO di Twitter nel novembre 2021.

Ad esempio, il Transparency Center di Twitter non ha pubblicato nuovi rapporti da dicembre dello scorso anno. E il nuovo approccio alla moderazione dei messaggi e alla gestione dei reclami ha portato al fatto che la piattaforma non risponde nemmeno alle minacce di morte, alle richieste di genocidio e alle frodi. 

Questo problema è stato trattato da CBS News in estate, dopo che il vicepresidente degli Stati Uniti Kamala Harris ha ricevuto minacce e insulti da migliaia di account Twitter, ma non sono seguiti blocchi o procedimenti.

Le tesi principali nel rapporto di Zatko presentato al Congresso sono le seguenti:

• Twitter non ha un normale controllo degli accessi, non ha nessun ambiente di test e la maggior parte degli ingegneri ha accesso costante all’ambiente di produzione e ai dati degli utenti.
• Twitter non tiene un registro di ciò che gli ingegneri cambiano nell’ambiente di produzione o di chi accede a cosa.
• Circa la metà dei 500.000 server di Twitter esegue software obsoleto che manca anche delle funzionalità di sicurezza di base (inclusa la crittografia dei dati) e non riceve aggiornamenti regolari.
• Twitter non è in grado di eliminare i dati dell’utente se l’utente richiede la cancellazione e desidera chiudere il proprio account. Ciò è dovuto principalmente al fatto che i dati vengono distribuiti attraverso i sistemi interni dell’azienda, e quindi è difficile anche rintracciarli.
• Twitter sta esaurendo l’hardware ridondante e le procedure per il ripristino da potenziali interruzioni del data center, mettendo a rischio i dati sensibili degli utenti.
• Il governo indiano ha costretto Twitter ad assumere agenti dal loro paese, che hanno ottenuto l’accesso a un’enorme quantità di dati degli utenti di Twitter.
• L’attuale CEO dell’azienda, Parag Agrawal, era pronto a soddisfare la richiesta delle autorità russe e a censurare i contenuti di Twitter.
• I dirigenti di Twitter hanno sempre privilegiato la crescita degli utenti rispetto alla sicurezza, in quanto ciò potrebbe far guadagnare loro fino a 10.000.000 di bonus. Ciò ha comportato che la direzione non fosse interessata a misurare il numero di bot sulla piattaforma e la divulgazione di tali numeri avrebbe probabilmente danneggiato le azioni della società.
• Il capo di Twitter ha provato a disabilitare la funzione di sicurezza ROPO, che mette gli account in modalità di sola lettura fino a quando non passano attraverso il processo di verifica del numero di telefono. Questa funzione è stata creata per combattere gli spambot.
• Alle spalle di Zatko, i dirigenti di Twitter hanno cercato di sbarazzarsi di un rapporto sulla propaganda statale attiva e le campagne di disinformazione su Twitter, che è stato compilato da una società di consulenza esterna su richiesta dello stesso Zatko.
• Twitter non ha rispettato i requisiti del governo e ha mentito alle autorità di regolamentazione sulle sue misure di sicurezza e sulla capacità di proteggere i dati degli utenti.
• Zatko afferma che gli è stato detto di selezionare con cura e distorcere i dati per creare una falsa impressione sui progressi della sicurezza informatica quando doveva riferire al consiglio di amministrazione.
• La direzione di Twitter ha tentato di nascondere o travisare i rapporti di Zatko ad altri membri del consiglio.
• Zatko afferma di essere stato licenziato dopo aver segnalato i problemi di sicurezza e frode alla direzione di Twitter e si è anche lamentato delle violazioni con un responsabile della conformità.

Il rapporto di Zatko suggerisce che Parag Agrawal ha mentito alle autorità di regolamentazione, al suo stesso consiglio di amministrazione, non ha combattuto i bot, non ha risolto problemi di sicurezza e ha permesso ai servizi segreti stranieri di infiltrarsi nell’azienda. Tale problema è principalmente la causa della crisi di Twitter.

Allo stesso tempo, secondo lo stesso Agrawal, Zatko semplicemente non ha fatto bene il suo lavoro e ora sta cercando di incolpare Twitter per i suoi stessi fallimenti. Inoltre, l’azienda ha sottolineato che molti dei problemi di cui ha scritto Zatko sono stati risolti da tempo.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli