Khi một người vị thành niên xâm nhập vào các máy chủ của Twitter: Câu chuyện về Graham Ivan Clark và cuộc tấn công lừa đảo xã hội lớn nhất

Sự ra đời của một kẻ săn mồi kỹ thuật số

Graham Ivan Clark không phải hacker truyền thống. Cậu lớn lên tại Tampa, Florida, trong một môi trường hỗn loạn không ổn định về kinh tế. Trong khi các bạn cùng trang lứa chơi game một cách bình thường, cậu đã nhận ra một cơ hội: thao túng người chơi khác bằng cách bán các vật phẩm trong game rồi biến mất cùng số tiền đó. Khi các nhà sáng tạo nội dung cố gắng phơi bày cậu ra công chúng, cậu đã phản ứng bằng cách hack các kênh của họ. Đối với Graham, thực tại không phải là mã code và máy chủ - đó là kiểm soát thuần túy qua sự thuyết phục.

Ở tuổi 15, cậu gia nhập OGUsers, một diễn đàn ngầm nơi các hacker thương mại hóa quyền truy cập vào các tài khoản mạng xã hội bị xâm phạm. Tại đây, cậu phát hiện ra vũ khí thực sự của mình: không cần phải là một thiên tài lập trình. Kỹ năng xã hội - khả năng thao túng tâm lý người khác - chính là siêu năng lực của cậu. Chỉ với nghệ thuật thuyết phục và thao túng, cậu có thể truy cập vào những thứ mà người khác phải mất hàng giờ để hack.

Kỹ thuật thay đổi tất cả: Trao đổi SIM

Ở tuổi 16, Graham hoàn thiện một kỹ thuật tàn phá: thuyết phục nhân viên các công ty điện thoại chuyển số điện thoại sang thiết bị do mình kiểm soát. Đây không phải là một cuộc tấn công từ xa phức tạp. Đó là một cuộc gọi điện thoại được thực hiện tốt, dựa trên niềm tin giả mạo và sự cấp bách giả tạo.

Với phương pháp này, cậu có quyền truy cập ngay lập tức vào:

• Các tài khoản email cá nhân
• Ví tiền điện tử
• Các tài khoản ngân hàng liên kết

Mục tiêu của cậu không phải là ẩn danh. Cậu tìm kiếm các nhà đầu tư tiền điện tử tự khoe khoang về sự giàu có của họ trên mạng xã hội. Một trong số đó là Greg Bennett, người thức dậy một ngày và phát hiện ra hơn 1 triệu đô la Bitcoin đã biến mất khỏi ví của mình. Liên hệ mà cậu nhận được còn đáng sợ hơn: “Thanh toán hoặc chúng tôi sẽ xử lý gia đình bạn.”

Hành động làm tê liệt Internet

Đến giữa năm 2020, Graham có một mục tiêu tham vọng: xâm nhập vào Twitter. Trong thời gian phong tỏa vì đại dịch COVID-19, nhân viên của nền tảng làm việc từ xa tại nhà, quản lý các thông tin đăng nhập từ các thiết bị cá nhân ít được bảo vệ.

Graham và một cộng tác viên tuổi teen thực hiện một kế hoạch tinh vi nhưng đơn giản về ý tưởng: giả danh nhân viên hỗ trợ kỹ thuật nội bộ. Họ gọi điện cho nhân viên Twitter, lý do là cần “khôi phục lại thông tin đăng nhập bảo mật” do một quy trình khẩn cấp. Họ gửi các trang đăng nhập giả mạo trông giống hệt trang thật. Các nhân viên, dưới áp lực và tin rằng đang trong tình huống khẩn cấp, cung cấp thông tin đăng nhập của mình.

Từng bước, những thiếu niên này leo lên trong kiến trúc nội bộ của Twitter cho đến khi truy cập được vào “chế độ thần thánh” - một tài khoản quản trị có thể đặt lại mọi mật khẩu trên nền tảng. Đột nhiên, họ kiểm soát hoàn toàn 130 trong số các tài khoản có ảnh hưởng nhất thế giới.

Tweet khiến cả hành tinh dừng lại

Vào ngày 15 tháng 7 năm 2020 lúc 8:00 tối, các bài đăng bắt đầu xuất hiện. Từ các tài khoản xác thực của Elon Musk, Barack Obama, Jeff Bezos, Apple và thậm chí Joe Biden, cùng một thông điệp xuất hiện: “Gửi 1.000 đô la bằng BTC và bạn sẽ nhận lại 2.000 đô la.”

Điều tưởng chừng là một meme xúc phạm đơn thuần lại hoàn toàn có thật. Chỉ trong vài phút, hơn 110.000 đô la Bitcoin đã chảy vào các ví do các hacker kiểm soát. Twitter buộc phải thực hiện một biện pháp chưa từng có: chặn toàn cầu tất cả các tài khoản xác thực của nền tảng - điều chưa từng xảy ra trong lịch sử mạng xã hội.

Ảnh hưởng rất lớn. Thị trường biến động. Các phương tiện truyền thông đưa tin về hỗn loạn. Các chính phủ bắt đầu điều tra. Và tất cả đều do hai thiếu niên với một chiếc laptop và quyết tâm tổ chức.

Hệ thống không thể bảo vệ họ

Cơ quan Điều tra Liên bang Mỹ (FBI) chỉ theo dõi Graham trong vòng hai tuần. Các hồ sơ IP, cuộc trò chuyện trên Discord, dữ liệu SIM - từng mảnh bằng chứng đều chỉ rõ cậu. Cậu đối mặt với 30 cáo buộc hình sự: trộm danh tính, lừa đảo điện tử, truy cập trái phép vào máy tính. Án tù có thể lên tới 210 năm.

Nhưng Graham đã thương lượng. Vì là người chưa thành niên khi phạm tội, cậu chỉ bị tuyên án 3 năm trong trung tâm cải tạo dành cho vị thành niên, cộng thêm 3 năm giám sát. Khi ra tù, cậu khoảng 19 tuổi. Tự do. Về mặt pháp lý, không thể bị truy cứu vì các tội trước đó.

Thật kỳ lạ, trong các cuộc đột kích trước vụ Twitter, cảnh sát đã tìm thấy 400 BTC - khoảng 4 triệu đô la vào thời điểm đó. Graham đã hoàn trả 1 triệu đô để giải quyết vụ kiện pháp lý, nhưng giữ phần còn lại. Hệ thống cho phép cậu giữ lại hàng triệu đô la bất hợp pháp chỉ vì còn là người chưa thành niên.

Những bài học rút ra: Các lỗ hổng mà không ai muốn thừa nhận

Câu chuyện của Graham Ivan Clark phơi bày một sự thật khó chịu: các hệ thống an toàn nhất thế giới không bị tổn thương bởi lỗi kỹ thuật, mà bởi lỗi con người. Kỹ thuật xã hội hoạt động vì nó chạm đến cảm xúc phổ quát: sợ hãi, tham lam, tin tưởng.

Các chiến thuật mà Graham sử dụng vẫn còn hiệu quả ngày nay:

Sự cấp bách giả mạo: Các công ty thực sự không bao giờ thúc ép quyết định ngay lập tức. Các hacker tạo ra các cuộc khủng hoảng giả tạo.

Chủ quyền giả mạo: Giả danh là thành viên trong đội ngũ kỹ thuật nội bộ loại bỏ sự hoài nghi tự nhiên. Graham hiểu rằng phần lớn người tin tưởng vào các nhân vật có quyền.

Lợi dụng sự mệt mỏi: Trong làm việc từ xa, nhân viên ít cảnh giác hơn. Các phòng thủ tâm lý suy yếu.

Xác thực bằng hình ảnh: Một email hoặc URL trông giống thật có thể lừa cả các chuyên gia an ninh mạng.

Hacker thực sự không phải là kỹ thuật. Đó là tâm lý. Graham không phá vỡ mã của Twitter - cậu đã thao túng những người viết ra nó và những người bảo vệ nó.

Phản ánh cuối cùng

Hôm nay, Graham Ivan Clark sống tự do. Nền tảng mà cậu xâm nhập giờ đây gọi là X dưới sự quản lý của Elon Musk. Thật trớ trêu, chính nền tảng này hàng ngày tràn ngập các sơ đồ lừa đảo liên quan đến tiền điện tử - chính những phương pháp đã làm giàu cho cậu nhiều năm trước. Tâm lý của gian lận vẫn còn hiệu quả trên hàng triệu người dùng.

Câu chuyện của cậu không chỉ là về một hacker trẻ tuổi xuất sắc. Nó là một cảnh báo về cách mà những điểm mạnh lớn nhất của chúng ta - sự tin tưởng, hợp tác, phản ứng nhanh - lại chính là những điểm yếu lớn nhất khi bị khai thác đúng cách.