La negligencia en ciberseguridad de Twitter señalada por su ex-CISO

Ya enredado en una demanda con Elon Musk por la toma fallida de la red social, Twitter también es el objetivo de su exgerente de seguridad, quien lo acusa de negligencia en materia de ciberseguridad. Según el Washington Post y CNN, Peiter “Mudge” Zatko, un conocido hacker, presentó una denuncia a principios de julio ante la Comisión de Bolsa y Valores (SEC), la Comisión Federal de Comercio (FTC) y el Departamento de Justicia de los Estados Unidos. . .

Peiter Zatko fue contratado por Twitter a finales de 2020 como CISO. Su contratación se produjo unos meses después de que se explotara un vacío legal que permitía a los piratas informáticos secuestrar las cuentas de Twitter de ciertas personalidades como Joe Biden o Elon Musk. Fue despedido menos de dos años después de su nombramiento.

Un nivel de seguridad inadecuado

En su denuncia, el experto afirma haber presenciado “graves deficiencias, negligencia, ignorancia voluntaria y amenazas a la seguridad nacional y la democracia”. Para él, la firma no contaba con controles básicos de seguridad. Por separado, observó que miles de computadoras portátiles de los empleados contenían copias completas del código fuente de Twitter, y aproximadamente un tercio de esos dispositivos bloqueaban los parches de seguridad automáticos. Tenían los cortafuegos del sistema deshabilitados y el acceso remoto a la PC habilitado pero no validado. Como resultado, “se ha descubierto que los empleados instalan spyware intencionalmente en las computadoras de su trabajo en varias ocasiones a pedido de organizaciones externas”, dice Peiter Zatko.

En su denuncia, el ex CISO también informa que unos 5.000 empleados tenían un amplio acceso al software interno de la empresa y que este acceso no estaba supervisado de cerca. Por lo tanto, podrían ver datos sensibles y modificar el funcionamiento del servicio. “Solo en 2020, Twitter experimentó más de 40 incidentes de seguridad, el 70% de los cuales estuvieron relacionados con el control de acceso”, dice el especialista. En cuanto a la gestión de vulnerabilidades, Peiter Zatko descubrió que "la mitad de los 500 000 servidores del centro de datos de la empresa ejecutaban un software obsoleto que no admitía funciones básicas de seguridad, como el cifrado de datos almacenados, o que ya no recibían actualizaciones periódicas de los proveedores. Finalmente, unirse Ante las alegaciones de Elon Musk sobre el porcentaje de cuentas falsas y bots en Twitter, el ex CISO cree que los líderes de la red social no cuentan con los recursos necesarios para conocer la cantidad real de bots en la plataforma.

Cuando se le preguntó acerca de los diversos cargos, un portavoz de Twitter dijo: “Sr. Zatko fue despedido de su puesto de alto ejecutivo en Twitter en enero de 2022 por liderazgo ineficaz y bajo rendimiento. Lo que hemos visto hasta ahora es una narrativa falsa sobre Twitter y nuestras prácticas de privacidad y seguridad de datos que está plagada de inconsistencias e imprecisiones y exhibe una falta significativa de contexto".