7月15日，Twitter遭遇史上最严重黑客攻击事件，包括副总统拜登、比尔盖茨等多位名人账户被劫持发送诈骗信息，造成极为恶劣的影响。

上周五，美国执法部门锁定并指控三人策划了本月对Twitter的史诗性攻击，并通过劫持政客、高管和名人的账户实施比特币骗局，获取了超过10万美元的收益。

旧金山的联邦检察官指控17岁的格雷厄姆·伊万·克拉克（Graham Ivan Clark，主犯）策划并实施了7月15日的Twitter攻击行为，其中17岁的克拉克被指控30项重罪。参与攻击的另外两名嫌犯——19岁的梅森·谢泼德（Sheppard）和22岁的尼玛·法泽利（Fazili）也被起诉。

根据法院文件，整个黑客攻击始于5月3日，当时来自坦帕市但居住在加利福尼亚州的青少年克拉克（Clark）可以访问Twitter网络的一部分。目前尚不清楚5月3日至7月15日，即实际的黑客攻击日之间发生了什么，但是目前看来Clark没能立即从最初的攻击入口渗透到Twitter管理工具，后者被用来接管并劫持Twitter账户。

在Twitter遭到黑客攻击后几天，《纽约时报》的报道表明，克拉克最初获得了访问Twitter内部Slack工作区之一的权限，而不是Twitter本身。《纽约时报》记者援引黑客社区的消息来源称，黑客在Twitter公司的某个Slack频道中发现了Twitter技术支持工具的账户凭证。

但是，此工具的账户凭据不足以访问Twitter后端，根据Twitter调查，黑客使用“鱼叉式电话钓鱼攻击”来骗取部分Twitter员工的账户访问权限，并“顺利通过了Twitter的双因素认证。”

Twitter的后续调查发现，Clark在访问Twitter管理工具的同时与130个账户进行了交互，为45个用户发起了密码重置，并为36个用户访问了私人消息。

获取Twitter管理工具访问权限的Clark随后在社交媒体账户交易论坛Discord上联系上Sheppard和Fazili，声称自己是Twitter员工并展示了自己修改任意Twitter账户设置的能力。聊天记录样本如下：

在取得Sheppard和Fazili的信任后，三人达成合作协议在OGUser论坛发布广告推广销售其Twitter账户劫持服务，吸引了大量买家。根据美国律师执行办公室在YouTube上发布的一条消息，他们仍在调查参与该黑客攻击的多个（买家）用户。至少其中一位买家对7月15日的多个Twitter名人账户被劫持实施比特币诈骗负责。

Twitter遭遇攻击的第二天，Twitter向当局提出正式的刑事诉讼，联邦调查局和特勤局也开始了调查。

根据法院文件，FBI使用社交媒体和新闻媒体共享的数据从社交媒体账户交易论坛Discord获取聊天记录和用户详细信息。

由于某些黑客广告已发布在OGUsers上，因此FBI还使用了OGUsers论坛数据库的副本，该数据库于今年4月因黑客攻击在线泄漏。该数据库包含有关注册论坛用户的详细信息，例如电子邮件和IP地址，以及私人消息。

当局在IRS的帮助下，还从Coinbase获得了黑客相关的比特币地址数据，以及过去三位黑客在Discord聊天和OGUsers论坛帖子中使用和提及的比特币地址。

通过将来自三个来源的数据进行关联，FBI能够跟踪三个站点上的黑客身份，并将其链接到电子邮件和IP地址。

例如，在Fazili（Discord代号Rolex）从他的OGUsers页面链接了他的Discord用户名之后，当局就对其进行了追踪，这是一个明显的操作安全性（OpSec）错误。

Fazili在掩饰真实身份方面还犯了其他多个低级错误。首先，他使用[email protected]地址在OGUsers论坛上注册了一个账户，并使用了[email protected]这个电子邮件地址来劫持@foreign Twitter账户。

遗憾的是，Fazili注册Coinbase账户时也使用了上述两个邮件地址，验证个人信息时还用了本人驾照照片。

此外，Fazili还使用其家庭网络来访问三个站点上的账户，将其家庭IP地址保留在所有三个服务（Discord、Coinbase和OGUsers）的访问日志中。

Sheppard也是同样的问题，他以Chaewon身份加入OGUsers。调查人员说，由于他在黑客当天在网站上发布的广告，他们能够将Sheppard的Discord用户与其OGUsers角色联系起来，但他们还通过OGUsers泄漏的数据库得到了确认，他们在该数据库中发现Chaewon购买视频游戏时，使用了与Twitter攻击事件相同的比特币地址。

就像Fazili一样，Sheppard在Coinbase中的账户验证，也使用了真实的驾驶执照。

相关阅读

雪花飘飘，Twitter沦陷，但原因简单到想打人