AP Twitter-hack geeft nieuwe kijk op cyberbeveiligingsbehoeften

Geknoeid worden op Twitter is hard op weg om een ​​rite de passage te worden voor grote bedrijven, maar de aanval van dinsdag op de Associated Pers kan een omslagpunt zijn en laat zien dat sociale netwerken meer moeten doen om hun gebruikers veilig te houden, zeggen beveiligingsdeskundigen.

Breder gebruik van tweefactorauthenticatie, waarbij een toegangscode naar een gebruiker op een tweede apparaat kan worden verzonden zoals een smartphone, is een mogelijke oplossing. Zo'n mechanisme kan selectief worden ingevoerd, zeggen sommige experts, voor spraakmakende accounts zoals beroemdheden en grote bedrijven.

"Twitter moet instappen en authenticatie met twee factoren beschikbaar maken … zo snel mogelijk", zegt Andrew Storms, directeur van beveiligingsoperaties bij nCircle Security.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Het Twitter-account van de AP is dinsdagochtend gehackt, resulterend in een valse tweet die meldde dat er "twee explosies waren in het Witte Huis en Barack Obama zijn gewond. " Een groep die zichzelf het Syrische elektronische leger noemde, eiste de verantwoordelijkheid op via hun eigen Twitter-account.

De tweet was maar een paar minuten zichtbaar, maar het industriële gemiddelde van de Dow Jones nam onmiddellijk na het plaatsen een neusduik voordat hij enkele minuten herstelde later. In tegenstelling tot sommige eerdere hackincidenten, had deze een reële invloed op de markten, merkte Steve Brunetto op, directeur productbeheer bij EdgeWave, een onderneming voor sociale media en e-mailbeveiliging.

De AP voegt zich bij een lijst van bedrijven die zijn onlangs gehackt op Twitter. Drie CBS-merken - 60 minuten, 48 uur en een nieuwsuitgever van Denver - werden het afgelopen weekend gekaapt. De New York Times, The Wall Street Journal en The Washington Post zijn de afgelopen maanden ook gehackt. In februari kondigde Twitter aan dat de site zelf was geschonden.

De Twitter-accounts van Burger King en het Jeep-autobedrijf zijn ook in gevaar. Na deze incidenten maande Twitter gebruikers op om slimmer te zijn met hun wachtwoorden en hoe ze de site gebruiken.

Twitter is na de AP-aanval van dinsdag grotendeels stil gebleven. "We geven geen commentaar op individuele accounts vanwege privacy- en veiligheidsredenen", aldus een woordvoerder. Maar nu kan het de perfecte tijd zijn voor het sociale netwerk om sterkere veiligheidsmaatregelen te treffen om toekomstige accountinbreuken te voorkomen, zeiden sommige experts.

"Twitter moet sneller worden bij het intensiveren van zijn cyberbeveiligingsinspanningen," zei EdgeWave's Brunetto.

Mark Risher, CEO van Impermium, een internetbeveiligingsbedrijf gevestigd in Redwood City, Californië, zei dat hij denkt dat Twitter de beveiliging al serieus neemt, maar de aanval van dinsdag "verheft" zorgen, zei hij.

Een van de strategieën zou zijn dat Twitter een authenticatiesysteem in twee stappen. In één algemene implementatie, wanneer gebruikers zich vanaf hun laptop bij de site aanmelden, zou Twitter hen een toegangscode sturen naar een tweede apparaat, zoals hun mobiele telefoon. Ze zouden dan die code moeten invoeren, evenals hun login en wachtwoord om toegang te krijgen tot de site.

Oproepen voor Twitter om zo'n systeem te adopteren duiken op wanneer de site wordt gehackt, maar de AP-aanval kan een omslagpunt worden, zei nCircle's Storms.

Als Twitter geen twee-factorenauthenticatie voor alle accounts wil verplichten, kan het bedrijf dit alleen verplicht stellen voor accounts die een bepaald aantal volgers passeren.

Er kan tweestapsverificatie worden aangeboden aan grote merken en andere prominente accounts, stemde Jon Oberheide, medeoprichter en chief technology officer bij Duo Security in, die authenticatiesoftware ontwikkelt.

Maar accounts die tweestaps-authenticatie gebruiken, kunnen nog steeds gevoelig zijn als degenen die de accounts gebruiken worden onderworpen aan een e-mail-phishingaanval, zegt Impisherium's Risher. "De hacker kan een inlogpagina nep maken en u vragen om de code die u zojuist hebt ontvangen," zei hij.

Als alternatief kan een phishingaanval worden gebruikt om een ​​toetsaanslaglogger op de computer van een gebruiker te installeren, door hun login en wachtwoord de volgende keer dat ze erin komen vast te leggen.

Als alternatief zouden Twitter en andere sociale netwerken beter moeten kijken naar hoe gebruikers omgaan met hun diensten en kijken naar signalen die kunnen wijzen op ongeautoriseerde activiteiten, zei Risher, wiens bedrijf algoritmen ontwikkelt om dergelijke activiteiten te identificeren. Er kan bijvoorbeeld worden gekeken naar hoe gebruikers omgaan met inhoud en hoe vaak ze tweeten en worden geretweet, bijvoorbeeld.

Twitter zou ook een op risico gebaseerde authenticatiemethode kunnen gebruiken, door gebruikers persoonlijke identificatievragen te stellen wanneer ze inloggen vanaf een onbekende computer, bijvoorbeeld.

Gebruikers zouden meer kunnen doen om hun eigen sociale media-accounts te beveiligen. Het gebruik van sterkere wachtwoorden, het regelmatig wijzigen en het beschermen van wifi-netwerken met wachtwoorden zijn allemaal aanbevolen werkwijzen. Het hebben van een zwak wachtwoord kan een rol hebben gespeeld in de schending van het AP-account. Het Syrische elektronische leger heeft later vanmiddag het vermeende wachtwoord 'APm @ rketing' getweet.

Maar de bewijslast zou op de sociale-mediasites moeten liggen om de veiligheid van de accounts van hun gebruikers te waarborgen, zei Risher. "Het zou moeten zijn als een 80/20 split," zei hij, "het leeuwendeel van het werk moet door de sites worden gedaan."

Apple, Facebook en Google behoren tot de bedrijven die al tweetraps aanbieden authenticatie als een optie voor gebruikers.

Twitter is een groot doelwit voor inbreuken vanwege de directheid, zei Obenhaim. Een van de belangrijkste doelen van Twitter is om informatie bijna realtime te verspreiden, terwijl bedrijfspagina's op Facebook vaak minder actief zijn.

Andere ideeën die zijn aangedragen om accounts te houden en online veilig te identificeren, zijn onder meer het gebruik van "fysieke" wachtwoorden, die de vorm van een sieraad kunnen aannemen. In een onderzoekspaper uitgebracht in januari, zei Google dat de huidige strategieën, inclusief het tweestapsverificatiesysteem, onvoldoende zijn.

De inzet is hoog als het gaat om cyberbeveiliging, zoals de beurskoers van dinsdag liet zien. "Smaading van het merk of het karakter is niet langer de enige uitkomst", aldus nCircle's Storms. Fictieve tweets over buitensporig gedrag van werknemers bij Burger King posten is één ding, maar tweeten dat de president gewond is geraakt na een explosie in het Witte Huis "kan een serieuze impact hebben" in het algemeen, merkte Duo's Oberheide op.

Dergelijke hacks zijn ook belangrijker omdat de Amerikaanse Securities and Exchange Commission zei dat het publieke bedrijven in staat zou stellen om materiële bedrijfsinformatie bekend te maken op sociale mediasites.

SEC weigerde dinsdag commentaar te geven op de AP's en andere recente Twitter-hacks.