O Twitter anunciou nesta segunda-feira que agora é possível proteger contas usando múltiplas chaves físicas de autenticação em dois fatores (2FA), tanto para login na versão web do serviço quanto nos apps para smartphones.
Além disso, em breve será possível usar as chaves de autenticação como único método de login em uma conta, desabilitando todos os outros métodos (como senhas). A mudança trará mais segurança aos usuários, especialmente aqueles com contas mais visadas.
Secure your account (and that alt) with multiple security keys. Now you can enroll and log in with more than one physical key on both mobile and web.
And coming soon: the option to add and use security keys as your only authentication method, without any other methods turned on.
— Support (@Support) March 15, 2021
A autenticação em dois fatores exige que o usuário informe um código gerado por uma chave física, como um “token” eletrônico (dispositivo similar a um pendrive) ou app no celular, além da senha principal, para confirmar o login.
Esse código muda constantemente, portanto mesmo que um invasor tenha a senha da conta, não conseguirá acessá-la sem o código gerado pelo token. Isso impede que a conta seja “sequestrada” ou tenha sua senha trocada.
Leia mais:
- Como mudar o nome de usuário do Twitter pelo celular
- Novidade no Twitter: Botão que cancela mensagens pode ser novo recurso
- Twitter cria sistema de alertas e suspensões por desinformação sobre Covid-19
Mesmo com 2FA, contas foram invadidas
O Twitter foi alvo de um mega-ataque em julho de 2020 que afetou dezenas de usuários, entre eles alguns com 2FA habilitada. Perfis como o do presidente norte-americano Joe Biden, do ex-presidente americano Barack Obama, além de grandes ícones da tecnologia como Bill Gates, Elon Musk e Jeff Bezos, foram invadidos.
As contas invadidas postavam golpes, solicitando quantias em bitcoins com a promessa de devolver aos usuários o dobro dos valores depositados. A rede social entrou em ação para auxiliar a recuperação das contas e também admitiu estar ciente de suas responsabilidades como plataforma. Os ataques alvejaram cerca de 130 contas, mas apenas 45 delas foram invadidas.
OK, we talked to another hacker. Were able to confirm how they got accounts: Twitter employee used internal tool to change email addresses associated with accounts. Twitter seems to have just confirmed this in tweets as wellhttps://t.co/2emeiH7gs1
— Jason Koebler (@jason_koebler) July 16, 2020
A invasão ocorreu através de uma ferramenta de administração interna do Twitter. Segundo a empresa: “Detectamos o que acreditamos ser um ataque de engenharia social coordenado por pessoas que atingiram com êxito alguns de nossos funcionários com acesso a sistemas e ferramentas internas”, disse a empresa. “Sabemos que eles usaram esse acesso para assumir o controle de muitas contas altamente visíveis (incluindo verificadas) e tuitaram em seu nome”.
Após o ataque, a empresa implementou novas medidas de segurança para que o episódio não se repita.
Fonte: Bleeping Computer
Rafael Rigues é redator(a) no Olhar Digital
Entre para comentar.