[HACK] Falso nuevo amigo en Twitter

[Roberto Plà]

Normalmente hay pocas novedades en cuestiones de seguridad, casi siempre 
se trata de viejos trucos con nuevos argumentos, código mejorado,... y 
creo que eso constituye la mayor parte de los ataques.
Solo unas pocas veces hay innovaciones que suelen producir dos efectos, 
por un lado el éxito del innovador en sus propósitos y por otro la 
rápida aparición de imitadores.

Hoy me ha llegado un mensaje de correo electrónico con una trampa 
sencilla pero efectiva.
En la red social twitter, cuando un usuario empieza a "seguir" tus 
comentarios, el sistema te envía un mensaje.

Hoy he recibido el aviso de un nuevo seguidor. Cuando eso ocurre, si 
tengo tiempo suelo visitar su página, donde aparecen sus comentarios, 
para hacerme una idea de a que ámbito pertenece y ver si a mi me 
interesa seguirle también. El mensaje contiene un enlace a esa página y 
a otras relacionadas con el perfil del usuario o para reportarlo como 
spam si es el caso, pero hoy todos los enlaces del mensaje conducían al 
dominio boughtstream.com que parece ser una farmacia de viagra o algo así.

El mensaje parece proceder de Twitter, pero analizado someramente 
muestra algunas diferencias.

* Los mensajes me llegan en español, pero este estaba en inglés
* Como se ha dicho todos los enlaces apuntan a un único dominio
* El nombre del usuario no concuerda con el de la cuenta, al aparecer 
una cuenta inactiva.
* La información sobre los usuarios que compartimos el nuevo falso 
seguidor y yo no se incluye en el mensaje falso.

Me ha costado encontrar una dirección de correo de twitter donde enviar 
el aviso. Se puede hacer, de forma muy facil bloqueos a usuarios y 
denuncias por spam, pero no había forma de informar de un incidente algo 
más complejo. Por otra parte Twitter parece estar sufriendo un ataque 
pues los enlaces a las páginas de usuarios referenciados en un "tweet", 
que son de la forma @nombre_de_usuario han sido desactivados y hablan de 
restituir las contraseñas 'a los usuarios hackeados'.

Roberto Plà
@rpla