Het officiële X-account van Microsoft werd gekaapt door onbekende aanvallers en tijdelijk gebruikt om een cryptocurrency te promoten gebaseerd op Clippy, de beroemde paperclip-assistent van het bedrijf.
Het gecompromitteerde @Microsoft-account heeft meer dan 13 miljoen volgers. Tijdens de overname begon het een account te volgen dat zich voordeed als Clippy en plaatste het de inhoud opnieuw. De profielfoto van Microsoft werd ook tijdelijk vervangen door een afbeelding van de oude Office-assistent.
De activiteit was verbonden met de promotie van een cryptocurrency genaamd $Clippy. Een van de accounts achter de campagne beweerde dat de token een liquiditeitspool had die direct gekoppeld was aan Microsofts $MSFT aandelensticker, wat gebruikers mogelijk de verkeerde indruk gaf dat de cryptocurrency een officiële band met het bedrijf had.
Microsoft heeft geen enkele band met de token en heeft geen cryptovaluta geautoriseerd of goedgekeurd die verbonden is aan Clippy of het merk daarvan.
De situatie werd verwarrender nadat de eerste berichten verdwenen waren. Ongeveer 30 minuten later verscheen er een schijnbare verontschuldiging op Microsofts account waarin werd gesteld dat het bedrijf de cryptocurrency niet ondersteunde en waarschuwde voor ongeoorloofd gebruik van intellectueel eigendom.
Dat bericht werd ook verwijderd. Microsoft bevestigde later dat het de excuses ook niet had gepubliceerd, wat betekent dat de aanvallers blijkbaar nog vanaf het account konden posten nadat de oorspronkelijke promotie was verwijderd.
Microsoft kreeg vervolgens weer de controle over het account en verwijderde de ongeautoriseerde inhoud. Het bedrijf zei dat het ongeautoriseerde toegang had bevestigd en bleef onderzoeken hoe het incident had plaatsgevonden.
Het X-account dat Microsoft aanvankelijk volgde tijdens het compromitteren is sindsdien geschorst. Echter, een ander account dat aan de $Clippy-promotie gekoppeld is, bleef de token promoten nadat het Microsoft-account was veiliggesteld.
Er is momenteel geen bevestigd bewijs dat laat zien hoeveel cryptocurrency, indien overgoten, gebruikers zijn verloren door de campagne. Microsoft heeft ook niet onthuld of de aanvallers hun X-inloggegevens verkregen via phishing, gestolen sessiegegevens of een andere methode.
Het incident laat zien waarom berichten van geverifieerde bedrijfsaccounts op sociale media niet automatisch vertrouwd mogen worden wanneer ze ineens cryptocurrency promoten. Aanvallers die een bekend account compromitteren, kunnen direct de reputatie van het bedrijf lenen en miljoenen potentiële slachtoffers bereiken voordat de legitieme eigenaar de controle terugkrijgt.