Vụ Án Graham Ivan Clark: Làm Thế Nào Một Thiếu Niên Khai Thác Bản Chất Con Người Để Xâm Phạm Twitter

Graham Ivan Clark vẫn là một trong những nhân vật nổi bật nhất trong lịch sử an ninh mạng — không phải vì anh ta sở hữu kỹ năng lập trình xuất sắc, mà vì anh ta hiểu được điều còn quý giá hơn nhiều: con người là mắt xích yếu nhất trong bất kỳ hệ thống bảo mật nào. Vào ngày 15 tháng 7 năm 2020, cậu thiếu niên 17 tuổi người Florida này đã chứng minh rằng các cuộc xâm nhập toàn diện không cần malware phức tạp hay nhiều năm kỹ năng kỹ thuật. Chúng đòi hỏi phải hiểu psychology.

Bối cảnh: Một thiếu niên, tham vọng và kỹ năng xã hội

Trước khi Graham Ivan Clark tổ chức một trong những vụ vi phạm an ninh nổi tiếng nhất trên internet, cậu ta đã vận hành những kế hoạch khá đơn giản. Lớn lên ở Tampa, Florida, cậu phát hiện sớm rằng thao túng còn hiệu quả hơn cả kỹ năng kỹ thuật. Trong khi bạn bè chơi game trực tuyến, cậu lại lừa đảo họ — cung cấp vật phẩm trong game, thu tiền, rồi biến mất. Khi các nhà sáng tạo nội dung công khai vạch trần, cậu phản ứng bằng cách xâm phạm các kênh của họ. Mô hình rõ ràng: cậu ta thích kiểm soát và thấy mê hoặc trong sự lừa dối.

Đến tuổi 15, Clark đã gia nhập OGUsers — một diễn đàn trực tuyến nổi tiếng nơi các tài khoản mạng xã hội bị đánh cắp được giao dịch như tiền tệ. Thật đáng ngạc nhiên, cậu không cần phải crack mật khẩu hay viết mã khai thác lỗ hổng. Vũ khí của cậu là cuộc trò chuyện: xác định mục tiêu dễ bị tổn thương, gây áp lực, và lấy thông tin bằng sức thuyết phục thuần túy.

Từ các kế hoạch đơn giản đến trộm cắp chứng thực nâng cao

Lên 16 tuổi, Graham Ivan Clark đã làm chủ kỹ thuật SIM swapping — một kỹ thuật khai thác lỗ hổng cơ bản trong cách các nhà mạng xử lý quản lý tài khoản. Bằng cách thuyết phục nhân viên viễn thông chuyển số điện thoại sang thiết bị do mình kiểm soát, Clark đã truy cập vào các tài khoản nhạy cảm nhất: email, ví tiền điện tử, hệ thống đăng nhập ngân hàng.

Sự tiến bộ này rất đáng kể. Cậu chuyển từ việc trộm tên người dùng sang xâm phạm toàn bộ danh tính tài chính. Các mục tiêu của cậu gồm các nhà đầu tư tiền điện tử nổi tiếng và các nhà đầu tư mạo hiểm công khai về khoản holdings của họ. Một nạn nhân, Greg Bennett, thức dậy và phát hiện hơn 1 triệu USD Bitcoin đã biến mất khỏi ví của anh ta. Khi các nạn nhân cố gắng thương lượng với Clark, họ nhận được phản hồi rợn người: yêu cầu thanh toán kèm theo đe dọa gia đình.

Ngày 15 tháng 7 năm 2020: Khi hai thiếu niên làm chủ Twitter

Đến giữa năm 2020, khi COVID-19 buộc đội ngũ nhân viên của Twitter làm việc từ xa, Graham Ivan Clark đã xác định mục tiêu tối thượng. Cùng h