보안 전문가는 3200개 이상의 모바일 앱에서 Twitter API 키를 유출하여 잠재적으로 위협 행위자가 사용자 계정을 탈취할 수 있음을 발견했습니다.
Twitter API 키를 통해 개발자는 소셜 미디어 플랫폼에 연결하고 자신의 애플리케이션에 다양한 기능을 포함할 수 있습니다. 예를 들어 게임 앱은 사용자의 최고 점수를 Twitter 계정에 직접 게시할 수 있습니다. 인증은 토큰 또는 Twitter API 키를 사용하여 수행됩니다.
그러나 CloudSEK는 보안 전문 지식이 거의 없는 개발자가 이러한 키를 의도치 않게 Twitter API에 남겨두는 경우가 많다는 사실을 발견했습니다. 연구에 따르면 다이렉트 메시지 읽기, 리트윗, 좋아요, 삭제, 팔로워 제거, 계정 팔로잉, 디스플레이 사진 변경과 같은 다양한 섬세한 작업을 수행하는 데 악용될 수 있습니다.
CloudSEK에 따르면 3207 앱은 합법적인 소비자 키와 소비자 비밀을 노출하여 악의적인 행위자가 상당한 규모의 봇 계정을 만들 수 있게 했습니다. 위험을 설명하기 전에 Twitter 로그인 오류 7을 수정하는 방법을 설명하는 가이드를 확인하는 것이 좋습니다.
3200개 이상의 앱에서 Twitter API 키 유출
CloudSEK는 모든 충돌에서 사용자를 방어할 수 있는 Twitter 봇 군대를 구축하려고 시도합니다. 그러나 인터넷에서 봇이 주도하는 잘못된 정보 전쟁이 가장 위험할 수 있습니다. 인터넷의 발명가인 Tim Berners-Lee는 대부분의 사람들이 사용자가 링크를 클릭하여 이익을 얻는 소셜 미디어 플랫폼 및 검색 엔진의 특정 그룹에서 뉴스를 입수하기 때문에 잘못된 정보가 퍼지는 것이 너무 간단하다고 주장했습니다. 거짓 뉴스는 이러한 웹사이트에서 “산불처럼 퍼질” 수 있습니다. 그 이유는 해당 알고리즘이 사용자가 가장 참여할 가능성이 높은 정보를 기반으로 하는 정보를 선호하기 때문입니다.
하지만 트위터의 핸들은 거짓 정보를 퍼뜨리는 데 쉽게 사용되어 그 범위를 확장할 수 있습니다. 반면에 사기와 위협은 이 커뮤니케이션 전략에 교묘하게 짜여져 실제처럼 보이게 만들 수 있습니다. 최근 트위터를 통해 ‘가짜 정지 통지’ 피싱 사기가 유포됐다.
사기를 지원하기 위해 검증된 핸들이 사용되었습니다. 또한 2016년 미국 대선에도 적극 참여했다. 트위터가 COVID 19 전염병에 대한 소문을 퍼뜨리는 데 사용되면서 더 많은 논란을 불러 일으켰습니다. 문제는 다른 소셜 네트워킹 웹사이트와 마찬가지로 단순한 네트워킹을 넘어선 것입니다.
Twitter는 많은 사용자에게 뉴스와 정보의 유일한 소스 역할을 하기 때문에 한 걸음 더 나아갑니다. 메시지를 반복해야 하기 때문에 여러 계정 탈취를 통해 같은 노래를 한 목소리로 부를 수 있습니다.
“때때로 이러한 자격 증명은 프로덕션 환경에 배포하기 전에 제거되지 않습니다. 앱이 Play 스토어에 업로드되면 누구나 액세스할 수 있는 API 비밀이 있습니다.”라고 CloudSek이 말했습니다.
“해커는 단순히 앱을 다운로드하고 디컴파일하여 API 자격 증명을 얻을 수 있습니다. 따라서 여기에서 대량 API 키와 토큰을 수집하여 Twitter 봇 군대를 준비할 수 있습니다.”
연구에 따르면 이러한 유형의 트위터 봇은 다음과 같은 용도로 사용될 수 있습니다.
- 전 세계에 거짓 정보 퍼뜨리기
- 손상된 계정의 팔로워를 감염시키기 위해 광범위한 맬웨어 캠페인 실행
- 투자 사기를 조장하기 위한 스팸 작업 시작
- 추가적인 사회 공학적 노력을 촉진하기 위해 피싱을 자동화하십시오.
CloudSEK는 개발자에게 정기적인 코드 검토를 수행하고, 소스 코드 파일에 “환경 변수”가 포함되어 있지 않은지 확인하고, Twitter API 키를 교체하라는 경고를 받았습니다.
Twitter와 같은 소셜 네트워킹 사이트는 실시간 정보 제공에 자부심을 느끼기 때문에 고의적인 거짓말과 의도하지 않은 거짓말을 구별하는 것이 어려울 수 있습니다. 따라서 소셜 미디어 플랫폼이 허위 정보의 전파에 사용되는 것을 방지하는 것이 중요합니다.
소셜 미디어 데이터의 보안과 검증된 핸들을 통한 허위 정보 확산 방지는 비즈니스에 똑같이 중요합니다. 그리고 이를 달성하려면 보안 코드 및 배포 관행을 따라야 합니다. BeVigil과 같은 도구를 사용하여 노출된 키와 자격 증명을 확인할 수도 있습니다.
가이드를 방문하여 Twitter 새로 고침 사운드를 끄는 방법을 배울 수도 있습니다.
