Teenager hacket Twitters største konti for Bitcoin

Den 17-årige Graham Ivan Clark stod bag det spektakulære Twitter-hack den 15. juli 2020, hvor hackergruppen fik kontrol over 130 højtprofilerede konti på kort tid. Angrebet fandt sted mellem klokken 20:00 og 22:00 UTC og omfattede konti tilhørende Bill Gates, Elon Musk, Barack Obama og Joe Biden.

Clark arbejdede sammen med to andre gerningsmænd: Mason Sheppard, der var 19 år gammel, og Nima Fazeli på 22 år. Tricket var simpelt men effektivt. Hackerne udgav sig for Twitter-ansatte fra IT-supportafdelingen og fiskede efter VPN-legitimationsoplysninger fra medarbejderne gennem phishing. Da de var inde i Twitters systemer, var det relativt let at overtage de berømte konti.

Den egentlige svindel var imidlertid Bitcoin-scammen. Fra de hacket konti skrev de, at folk kunne få deres Bitcoin-beholdning fordoblet, hvis de sendte crypto til bestemte tegnebøger. Det virkede – over 320 personer sendte Bitcoin til svindelkontoene og tilsammen blev der samlet over 117.000 dollar ind, før Twitter fjernede tweetene.

Det var dog ikke første gang, Clark havde været involveret i digitale forbrydelser. I 2019 havde han allerede udført et SIM-swap-angreb mod angel investor Gregg Bennett, hvor han stjal 164 bitcoins. SIM-swap betyder, at hackeren får kontrol over ofrets telefonnummer ved at overtale teleselskabet til at skifte SIM-kortet, hvilket giver adgang til konti, der er sikret med to-faktor-godkendelse via SMS.

Clark blev arresteret i 2020 og idømte tre års fængsel efterfulgt af tre års probation efter at have erkendt sig skyldig. Han indgik en plea agreement – en skyldtilståelse mod reduceret straf – i marts 2021. Den stjålne cryptocurrency blev beslaglagt med det formål at blive brugt til erstatning til ofrene.

Fordi Clark var blevet idømt under Floridas Youthful Offender Act, stod han over for potentielle skærpede konsekvenser, hvis han brød sine betingelser efter løsladelse. Det har givet ham betydelig motivation til at overholde sin prøvetid.

Hacket fra 2020 var et alarmerende eksempel på, hvor sårbar selv Twitters sikkerhed var på det tidspunkt, samt hvor effektiv social engineering kan være mod medarbejdere. Angrebets enkle metode – at udgive sig for IT-support og phishe efter loginoplysninger – blev senere brugt som case study for svaghederne i menneskelig sikkerhed på teknologiplatforme.