Kanał rekrutacyjny CIA. To nie powinno się zdarzyć

Błąd na platformie X (dawniej Twitter) pozwolił na przejęcie kanału rekrutacyjnego agentów CIA, który działał na platformie Telegram. Lukę odkrył badacz cyberbezpieczeństwa - Kevin McSheehan, który samego siebie opisuje jako etycznego hakera.

Amerykańska agencja wywiadowcza CIA na koncie na X ma umieszczony link do swojego kanału na Telegramie. Odnośnik służy do rekrutacji potencjalnych agentów - jednak, jak się okazuje, nie jest to w pełni bezpieczna droga pozyskiwania nowych szpiegów.

Przejąć kontrolę nad rekrutacją

McSheehan, jak się okazało, zdołał przekierować ruch z linku na koncie CIA na platformie X do własnego kanału na Telegramie. Jak twierdzi, to błąd, który nie powinien się zdarzyć. Konto CIA obserwuje niemal 3,5 mln osób. Etyczny haker twierdzi, że odkrył błąd przez przypadek - i jak stwierdził w rozmowie z BBC, jego pierwszą reakcją była panika.

Ekspert podkreśla, że operacji przekierowania ruchu może łatwo dokonać jakikolwiek adwersarz USA - Rosja, Chiny, lub Korea Północna. W takiej sytuacji może dojść do przejęcia przez te kraje informacji niejawnych, jak i pozyskania wiedzy o prowadzonych przez CIA działaniach kadrowych.

Jak działa błąd?

Błąd na platformie X polega na tym, że linki wyświetlane w profilach mogą być skracane do formy, która ostatecznie zmienia ich adres. W ten sposób odnośnik zamieszczony przez CIA, prowadzący do kanału agencji na Telegramie, został automatycznie podmieniony na link do profilu o nieużywanej przez nikogo nazwie na tym komunikatorze.

McSheehan zarejestrował szybko konto o takiej nazwie i okazało się, że w ten sposób zyskał kontrolę nad treściami przesyłanymi na zamieszczony na profilu agencji na X link. Banalnie proste. Badacz przy okazji podkreślił, że to błąd, który na X występuje już od pewnego czasu i widział go wcześniej. Jednocześnie zdziwił się, iż występowania tej luki nie odkryła sama CIA.

Agencja nie odpowiedziała na prośbę dziennikarzy o komentarz w tej sprawie - w ciągu godziny od przesłania jej zapytania przez BBC, adres na profilu na X został podmieniony na właściwy, już bez błędu.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].