C’è chi dice che il 2FA di Twitter aiutasse i governi a spiare le persone

Una compagnia, Mitto AG, ha gestito per un po’ di tempo i messaggi mandati da Twitter per la gestione della 2FA, l’autenticazione a due fattori: il cofondatore ha affermato adesso di aver venduto accessi alla rete al governo, per permettergli di trovare persone di interesse.

Twitter ha fin da subito avvisato che passeranno a nuova compagnia, abbandonando questa, ma per ora ancora ne fanno uso. Per questo motivo viene spesso consigliato di sfruttare un’autenticazione a due fattori tramite app, piuttosto che gli SMS.

La Mitto AG, che gestiva la 2FA di Twitter, sembra aver venduto accessi al governo

Bloomberg ha riportato:

Twitter Inc. ha detto a un senatore americano che sta tagliando i ponti con una compagnia tecnologica europea che ha aiutato a inviare codici sensitivi agli utenti via messaggi.

L’azienda del social media ha detto al senatore americano Ron Wyden, un democratico dell’Oregon, che sta andando via ad quest’azienda, la Mitto AG, sotto consiglio dello stesso Wyden.

Un co-fondatore di Mitto ha operato servizi che hanno aiutato segretamente il governo a sorvegliare e tracciare telefoni cellulari, secondo alcuni ex-dipendenti e clienti.

Il co-fondatore in questione sarebbe Ilja Gorelik, e avrebbe agito da solo, tenendo all’oscuro tutto il resto dell’agenzia. Un portavoce della compagnia Mitto ha detto che l’azienda non ha nessun coinvolgimento con la questione, e sta investigando. Un report non ufficiale affermerebbe infine che Gorelik è stato allontanato dalla compagnia, e non ne fa più parte.

Il sistema usato sembra aver sfruttato un exploit legato al Signaling System 7: questo permetterebbe di ascoltare chiamate, leggere messaggi e persino tracciare la posizione, tre funzioni molto utili per il governo in caso di necessità di tracciamento di persone di interesse di vario genere. Ricordiamo che Mitto AG offriva servizi anche a Google e WhatsApp.

Per chi non lo sapesse, il 2FA servirebbe a tutelare gli ingressi al proprio account attraverso una doppia password, la prima creata durante la creazione dell’account, la seconda invece inviata tramite app o sms al telefono.