Een inmiddels ontslagen directeur van Twitter heeft de beerput opengetrokken over een aantal grote tekortkomingen bij het bedrijf. Welke beschuldigingen zijn dat en hebben die invloed op de toekomst van het sociale netwerk?
Wat is er precies gebeurd?
CNN en The Washington Post schreven op dinsdag over een klokkenluider bij Twitter. Die klokkenluider is Peiter Zatko, die ook wel bekend is onder de bijnaam Mudge en een bekende hacker is. Hij was het voormalige hoofd van beveiliging bij Twitter en werd in januari van dit jaar ontslagen bij het bedrijf. De officiële reden van zijn ontslag is volgens Twitter zijn slechte prestaties. Zatko heeft een maand geleden een brief gestuurd naar de Amerikaanse Securities and Exchanges Commission, ofwel SEC, de beurstoezichthouder. Die hebben CNN en The Washington Post nu ook in bezit, al hebben ze die niet gepubliceerd. Een van de redenen dat Zatko naar de SEC stapte, is omdat hij dan als klokkenluider aanspraak maakt op bescherming en financiële hulp. Dat wordt bevestigd door een brief die zijn advocaten vorige maand schreven en die nu openbaar is geworden.
Zatko wil niet over zijn ontslag praten en blijft bij de officiële verklaring daarvoor. Wel noemt hij meerdere problemen die in de afgelopen jaren zouden spelen bij Twitter. Welke dat zijn, weten we dus alleen van de artikelen die CNN en The Washington Post hebben gemaakt en niet uit de bron zelf. Wel heeft Mudge een interview gegeven waarin hij zijn kritiek nog eens uitlegt.
Wie is deze hacker?
'Mudge' is een bekende naam. Hij is een typische, klassieke hacker uit de tijd dat computers nog jong en spannend waren. Hij was onder andere lid van de hackersgroep The Cult of the Dead Cow en van hackerdenktank L0pth, hij deed veel onderzoek naar beveiligingskwetsbaarheden en werkte later onder andere bij de cybersecurityafdeling van Darpa en bij Google. Zatko is dus niet de eerste de beste middenmanager die wat geks in een bedrijf ziet; hij weet waar hij over praat.
Zatko kwam in 2020 bij Twitter werken. Toen vond een groot en vooral publiek hackincident plaats. De accounts van Apple, Bill Gates en Elon Musk werden overgenomen en plaatsten cryptoscams. Toenmalig baas van Twitter, Jack Dorsey, vroeg Zatko toen persoonlijk om als head of security bij het bedrijf binnen te komen. Sinds zijn aantreden rapporteerde hij direct aan de ceo; in het begin was dat Dorsey en inmiddels is dat Parag Agrawal. Zatko werd op 19 januari ontslagen bij het bedrijf, maar over dat ontslag wil hij niets kwijt.
:strip_exif()/i/2005307578.jpeg?f=imagenormal)
Welke kritiek heeft Mudge?
Mudge noemt verschillende zaken waarbij Twitter de mist in ging. De meeste draaien om de interne beveiliging van het netwerk, maar ook de interne bedrijfsvoering is problematisch. De problemen opgesomt:
Geen securityplan
Twitter trof in 2010 een schikking met de Amerikaanse Federal Trade Commission rondom de beveiliging van het platform. De FTC concludeerde in dat jaar dat Twitter slecht omging met de privégegevens van gebruikers. Een van de belangrijkste problemen die met de schikking werden opgelost, was dat te veel medewerkers bij te veel interne informatie konden komen. Zatko zegt nu tegen de SEC dat Twitter niet voldoet aan die schikkingseisen. Twitter zou 'een abnormaal hoog aantal beveiligingsincidenten kennen'. In de praktijk zou er zeker eens per week een incident plaatsvinden dat moet worden gemeld aan autoriteiten. Dat is volgens Zatko veel meer dan bij veel andere bedrijven.
Toegang tot accountsMedewerkers zouden op grote schaal toegang hebben tot gevoelige gebruikersdata, ook van grote accounts
'Duizenden werknemers' hebben volgens Zatko brede toegang tot kernsoftware van het bedrijf. Ook zou die toegang slecht gemonitord worden. Zatko linkt die toegang aan verschillende incidenten in het verleden waarbij prominente accounts zoals dat van Elon Musk of oud-presidenten Obama en Trump konden worden overgenomen.
Oude software
Zatko zegt dat de helft van de 500.000 servers van het bedrijf verouderde en kwetsbare software draaien. Details over welke software dat is ontbreken. De software zou vaak geen versleuteling ondersteunen voor opgeslagen data en geen beveiligingsupdates van leveranciers meer krijgen.
Geheimhoudingen
Managers binnen het bedrijf zouden belangrijke cijfers rondom datalekken en beveiligingsincidenten achterhouden. Ze zouden hun bazen alleen onbelangrijke informatie met positieve informatie tonen.
Spam
Zatko zegt dat Twitter het belang van 'gebruikersgroei boven spambestrijding zou zetten'. Dat ging ten koste van de gebruikerservaring. Managers kregen hoge bonussen, tot wel tien miljoen dollar, als ze bepaalde metrics haalden zoals een groeiend aantal dagelijkse gebruikers. Er bestonden geen bonussen voor het bestrijden van spam op het platform.
Invloed van overheden
Volgens Zatko zou Twitter kwetsbaar zijn voor invloed van buitenlandse overheden. Zatko denkt dat de Indiase overheid Twitter dwong een agent in het bedrijf aan te nemen. Dat gebeurde op het moment dat er in het land protesten plaatsvonden. Veel details daarover staan alleen in de aanklacht die niet openbaar is, maar in combinatie met het feit dat zoveel medewerkers toegang hadden tot interne data, had dat ernstige gevolgen kunnen hebben. Een ander incident is dat Agrawal, nu ceo en toen cto, Zatko opriep om aan Russische eisen te voldoen om verregaande censuur en surveillance op het platform toe te passen. Dat plan heeft Twitter nooit doorgezet.
Ontbrekende processenTwitter had weinig processen in werking voor het beveiligen van code
Onderdeel van de FTC-schikking in 2011 was dat Twitter intern een softwaredevelopmentlifecyclemodel zou opzetten. Dat is een model om code intern te controleren op veiligheid. Volgens Zatko zou dat model slechts op een tiende van alle interne projecten worden toegepast en vaak zelfs optioneel zijn. Ook zouden werknemers en managers hebben gelogen tegen de directie over de voortgang daarvan.
Zijn dit nieuwe incidenten?
De meeste incidenten en tekortkomingen die Zatko beschrijft, zijn inderdaad nieuw. Of beter gezegd, ze zijn niet eerder openbaar geworden. Ze kunnen echter veel incidenten uit het verleden goed verklaren. Twitter heeft een lange, gecompliceerde geschiedenis van beveiligingsincidenten. Vrij recent werden er nog 5,4 miljoen telefoonnnummers gelekt van gebruikers, maar het gaat lang niet altijd om incidenten. Zo kreeg het bedrijf een miljoenenboete voor het misbruiken van telefoonnummers. Die waren opgegeven voor tweestapsverificatie en om spam te bestrijden.
In het verleden zijn er ook regelmatig incidenten geweest rondom populaire accounts. De tiener die in 2020 bekende accounts hackte voor cryptoscams was er een van, maar er was ook de zaak van de Nederlandse Victor Gevers die het wachtwoord van Donald Trumps account raadde. Verder zijn er in het verleden tientallen incidenten geweest rondom de beveiliging van Twitter, groot- en kleinschalig. Het lijken er gevoelsmatig meer te zijn dan bij veel andere techbedrijven, al hebben we daar geen harde cijfers voor.
Hebben deze incidenten nog invloed op de overname van Twitter door Elon Musk?
Volgens Zatko is Twitter misleidend over het aantal bots op het platform
Dat is nu nog moeilijk te zeggen; beide partijen hebben daar nog niet op gereageerd. Een ding staat in ieder geval wel vast: de strijd rondom spambots zal er wel door oplopen. Dat is het centrale probleem in de overname. Twitter en Elon Musk hebben onenigheid over het aantal bots op het platform en dat zou de overnameprijs beïnvloeden. Zatko heeft ook daar het een en ander over te zeggen.
Zatko zegt dat hij begin 2021 aan Twitter voor het eerst om informatie vroeg over het aantal spambots op Twitter. Twitter zou toen hebben gezegd niet te weten hoeveel bots er op het platform zitten. Volgens Zatko leek het betreffende team ook weinig interesse te hebben om daar achter te komen.
Bovendien zou Twitter regelmatig zeggen dat '9 tot 15 procent van alle gebruikers bots zijn', maar dat is volgens Zatko misleidend. Twitter zou namelijk alleen een percentage noemen van het aantal monetizable daily active users en niet het totaal aantal gebruikers. Het is niet duidelijk wat er precies over bots in het document van Zatko staat. Zo is niet bekend of dat kan dienen als bewijs in de rechtszaak die Musk en Twitter momenteel hebben lopen. Maar één ding is zeker: Twitter lijkt inderdaad geen idee te hebben van het aantal spambots, of heeft op zijn minst weinig moeite gedaan om dat uit te zoeken.
/i/2004618418.png?f=fpa)
:strip_exif()/i/2005058780.jpeg?f=fpa)
:strip_exif()/i/2005568452.jpeg?f=fpa)
:strip_exif()/i/2005332048.jpeg?f=fpa)
:strip_exif()/i/2004698112.jpeg?f=fpa)
/i/2004795296.png?f=fpa)
:strip_exif()/i/2004648158.jpeg?f=fpa)
/i/2000950507.png?f=fpa)
:strip_exif()/u/220687/crop5d318d86e9a73.gif?f=community){kind=small}
/u/99142/crop62758e978b3e3_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/63387/crop619c2ec45e26f_cropped.jpg?f=community){kind=small}
/u/590416/crop5d8a8f12228ba_cropped.png?f=community){kind=small}