OAKLAND, Californie – Un programme de piratage de Twitter qui ciblait les élites politiques, corporatives et culturelles cette semaine a commencé par un message taquin entre deux pirates informatiques mardi soir sur la plateforme de messagerie en ligne Discord.

« Yoo bro », a écrit un utilisateur nommé « Kirk », selon une capture d’écran de la conversation partagée avec le New York Times. « Je travaille sur Twitter / ne le montre à personne / sérieusement. »

Il a ensuite démontré qu’il pouvait prendre le contrôle de précieuses adresses Twitter – le genre de chose qui nécessiterait un accès privilégié au réseau informatique de l’entreprise.

Le pirate informatique qui a reçu le message, en utilisant le pseudonyme «lol», a décidé au cours des 24 heures suivantes que Kirk ne travaillait pas réellement pour Twitter parce qu’il était trop disposé à endommager l’entreprise. Mais Kirk a eu accès aux outils les plus sensibles de Twitter, ce qui lui a permis de prendre le contrôle de presque toutes les adresses Twitter, y compris celles de l’ancien président Barack Obama, Joseph R. Biden Jr., Elon Musk et de nombreuses autres célébrités.

Malgré une attention mondiale sur l’intrusion, qui a ébranlé la confiance dans Twitter et la sécurité fournie par d’autres entreprises technologiques, les détails de base qui étaient responsables et comment ils l’ont fait, ont été un mystère. Les fonctionnaires en sont encore aux premiers stades de leur enquête.

Mais quatre personnes qui ont participé au stratagème se sont entretenues avec le Times et ont partagé de nombreux journaux et captures d’écran des conversations qu’ils ont eues mardi et mercredi, démontrant leur implication avant et après que le piratage soit devenu public.

Les entretiens indiquent que l’attaque n’était pas l’œuvre d’un seul pays comme la Russie ou d’un groupe sophistiqué de hackers. Au lieu de cela, cela a été fait par un groupe de jeunes – dont l’un dit vivre à la maison avec sa mère – qui ont appris à se connaître en raison de leur obsession de posséder des pseudonymes précoces ou inhabituels, en particulier une lettre ou un chiffre, comme @ y ou @ 6.

Le Times a vérifié que les quatre personnes étaient connectées au piratage en associant leurs comptes de médias sociaux et de crypto-monnaie à des comptes impliqués dans les événements de mercredi. Ils ont également présenté des preuves corroborantes de leur implication, comme les journaux de leurs conversations sur Discord, une plate-forme de messagerie populaire auprès des joueurs et des pirates informatiques, et Twitter.

Kirk, qui a pris de l’argent dans et hors de la même adresse Bitcoin au cours de la journée, a joué un rôle central dans l’attaque, selon une analyse des transactions Bitcoin par The Times, avec l’aide de la société de recherche Chainalysis.

Mais l’identité de Kirk, sa motivation et s’il a partagé son accès à Twitter avec quelqu’un d’autre restent un mystère, même pour les personnes qui ont travaillé avec lui. On ne sait toujours pas combien Kirk a utilisé son accès aux comptes de personnes comme M. Biden et M. Musk pour obtenir des informations plus privilégiées, comme leurs conversations privées sur Twitter.

Le hacker «lol» et un autre avec qui il a travaillé, qui portait le pseudonyme «toujours aussi anxieux», ont déclaré au Times qu’ils voulaient parler de leur travail avec Kirk afin de prouver qu’ils avaient seulement facilité les achats et les rachats. de comptes Twitter moins connus tôt dans la journée. Ils ont dit qu’ils n’avaient pas continué à travailler avec Kirk une fois qu’il avait commencé plus d’attaques de haut niveau vers 15h30, heure de l’Est, mercredi.

« Je voulais juste vous raconter mon histoire parce que je pense que vous pourrez peut-être éclaircir quelque chose sur moi et si anxieux », a déclaré « lol » dans une discussion sur Discord, où il a partagé tous les journaux de sa conversation avec Kirk et a prouvé qu’il était propriétaire des comptes de crypto-monnaie qu’il utilisait pour effectuer des transactions avec Kirk.

« Lol » n’a pas confirmé son identité réelle, mais a dit qu’il vivait sur la côte ouest et était dans la vingtaine. «Toujours aussi anxieux» a déclaré qu’il avait 19 ans et vivait dans le sud de l’Angleterre avec sa mère.

Les enquêteurs qui ont enquêté sur les attaques ont déclaré que plusieurs des détails fournis par les pirates informatiques correspondaient à ce qu’ils avaient appris jusqu’à présent, y compris l’implication de Kirk à la fois dans les grands hacks plus tard dans la journée et les attaques moins médiatisées tôt mercredi.

Le Times a été initialement mis en contact avec les pirates par un chercheur en sécurité en Californie, Haseeb Awan, qui communiquait avec eux parce que, a-t-il dit, un certain nombre d’entre eux l’avaient ciblé auparavant et une entreprise liée au Bitcoin qu’il possédait autrefois. Ils ont également ciblé sans succès son entreprise actuelle, Efani, un fournisseur de téléphonie sécurisé.

L’utilisateur connu sous le nom de Kirk n’avait pas beaucoup de réputation dans les cercles de hackers avant mercredi. Son profil sur Discord n’avait été créé que le 7 juillet.

Mais «lol» et «ever so anxious» étaient bien connus sur le site Web OGusers.com, où les pirates se sont rencontrés pendant des années pour acheter et vendre de précieux noms d’écran de médias sociaux, ont déclaré des experts en sécurité.

Pour les joueurs en ligne, les utilisateurs de Twitter et les pirates informatiques, les noms d’utilisateurs dits OG – généralement un mot court ou même un nombre – sont très recherchés. Ces poignées accrocheuses sont souvent saisies par les premiers utilisateurs d’une nouvelle plate-forme en ligne, les «gangsters originaux» d’une nouvelle application.

Les utilisateurs qui arrivent plus tard sur la plate-forme recherchent souvent la crédibilité d’un nom d’utilisateur OG et paieront des milliers de dollars aux pirates qui les volent à leurs propriétaires d’origine.

Kirk s’est connecté avec «lol» tard mardi, puis «toujours si anxieux» sur Discord tôt mercredi, et a demandé s’ils voulaient être ses intermédiaires, vendant des comptes Twitter à la pègre en ligne où ils étaient connus. Ils prendraient une part de chaque transaction.

Dans l’une des premières transactions, « lol » a négocié un accord pour quelqu’un qui était prêt à payer 1 500 $, en Bitcoin, pour le nom d’utilisateur Twitter @y. L’argent est allé dans le même portefeuille Bitcoin que Kirk a utilisé plus tard dans la journée lorsqu’il a reçu des paiements en piratant les comptes Twitter de célébrités, indique le grand livre public des transactions Bitcoin.

Le groupe a publié une annonce sur OGusers.com, offrant des poignées Twitter en échange de Bitcoin. «Toujours aussi anxieux» a pris le nom d’écran @anxious, qu’il convoitait depuis longtemps. (Ses détails personnalisés se trouvent toujours au sommet du compte suspendu.)

«J’ai juste trouvé ça cool d’avoir un nom d’utilisateur que d’autres personnes voudraient», a déclaré «très anxieux» dans une conversation avec le Times.

Au fil de la matinée, les clients ont afflué et les prix exigés par Kirk ont ​​augmenté. Il a également démontré combien d’accès il avait aux systèmes de Twitter. Il a été en mesure de modifier rapidement les paramètres de sécurité les plus fondamentaux sur n’importe quel nom d’utilisateur et a envoyé des photos des tableaux de bord internes de Twitter comme preuve qu’il avait pris le contrôle des comptes demandés.

Le groupe a remis @dark, @w, @l, @ 50 et @vague, entre autres.

Un de leurs clients était une autre figure bien connue des pirates informatiques qui utilisaient des noms d’utilisateurs – un jeune homme connu sous le nom de «PlugWalkJoe». Jeudi, PlugWalkJoe était le sujet d’un article par le journaliste de sécurité Brian Krebs, qui a identifié le pirate informatique comme un acteur clé de l’intrusion sur Twitter.

Les journaux Discord montrent que même si PlugWalkJoe a acquis le compte Twitter @ 6 par le biais de «toujours aussi anxieux» et l’a personnalisé brièvement, il n’a pas été autrement impliqué dans la conversation. PlugWalkJoe, qui a dit que son vrai nom est Joseph O’Connor, a ajouté dans une interview avec The Times qu’il avait reçu un massage près de son domicile actuel en Espagne alors que les événements se produisaient.

«Je m’en fiche», a déclaré M. O’Connor, qui a dit qu’il avait 21 ans et qu’il était britannique. «Ils peuvent venir m’arrêter. Je me moquerais d’eux. Je n’ai rien fait.

M. O’Connor a déclaré que d’autres pirates informatiques l’avaient informé que Kirk avait eu accès aux informations d’identification Twitter lorsqu’il avait trouvé un moyen d’accéder au canal de messagerie interne Slack de Twitter et les avait vues y être publiées, ainsi qu’un service qui lui permettait d’accéder aux serveurs de l’entreprise. Les personnes enquêtant sur l’affaire ont déclaré que cela correspondait à ce qu’elles avaient appris jusqu’à présent. Un porte-parole de Twitter a refusé de commenter, citant l’enquête en cours.

Toutes les transactions impliquant «lol» et «toujours si anxieux» ont eu lieu avant que le monde ne sache ce qui se passait. Mais peu avant 15h30, les tweets des plus grandes sociétés de crypto-monnaie, comme Coinbase, ont commencé à demander des dons de Bitcoin au site cryptoforhealth.com.

« Nous venons de frapper cb », une abréviation pour Coinbase, Kirk a écrit à « lol » sur Discord une minute après avoir repris le compte Twitter de l’entreprise.

Le registre public des transactions Bitcoin montre que le portefeuille Bitcoin qui a payé pour mettre en place cryptoforhealth.com était le portefeuille que Kirk avait utilisé toute la matinée, selon trois enquêteurs, qui ont déclaré qu’ils ne pouvaient pas parler du dossier en raison de l’enquête ouverte.

Dans plusieurs messages de mercredi matin, «toujours si anxieux» a évoqué son besoin de dormir, étant donné que c’était plus tard dans la journée en Angleterre. Peu de temps avant le début des gros hacks, il a envoyé un message téléphonique à sa petite amie en lui disant «sieste, sieste» et il a disparu des journaux de Discord.

Kirk a rapidement intensifié ses efforts, publiant un message provenant de comptes appartenant à des célébrités comme Kanye West et des titans de la technologie comme Jeff Bezos: Envoyez Bitcoin à un compte spécifique et votre argent serait renvoyé, doublé.

Peu après 18 heures, Twitter a semblé rattraper l’attaquant et les messages ont cessé. Mais la société a dû désactiver l’accès pour une grande partie des utilisateurs, et quelques jours plus tard, la société est toujours en train de reconstituer ce qui s’est passé.

Quand « jamais si anxieux » se réveillait juste après 2h30 du matin en Grande-Bretagne, il regardait en ligne, voyait ce qui s’était passé et envoyait un message déçu à son camarade intermédiaire, « lol. »

«Je ne suis pas triste, mais simplement ennuyé. Je veux dire qu’il n’a fait que 20 btc », a-t-il déclaré, se référant aux bénéfices Bitcoin de Kirk de l’arnaque, qui se sont traduits par environ 180 000 $.

Kirk, quel qu’il soit, avait cessé de répondre à ses intermédiaires et avait disparu.