A conta oficial X da Microsoft foi sequestrada por atacantes desconhecidos e temporariamente usada para promover uma criptomoeda baseada no Clippy, o famoso assistente de clipe de papel da empresa.
A conta comprometida @Microsoft tem mais de 13 milhões de seguidores. Durante a aquisição, ela começou a seguir uma conta que se fazia passar pelo Clippy e repostou seu conteúdo. A foto de perfil da Microsoft também foi temporariamente substituída por uma imagem do antigo assistente do Office.
A atividade estava ligada à promoção de uma criptomoeda chamada $Clippy. Uma das contas por trás da campanha afirmava que o token possuía um pool de liquidez diretamente associado ao ticker de ações $MSFT da Microsoft, potencialmente dando aos usuários a falsa impressão de que a criptomoeda tinha uma ligação oficial com a empresa.
A Microsoft não tem afiliação com o token e não autorizou nem endossou nenhuma criptomoeda ligada ao Clippy ou à sua marca.
A situação ficou ainda mais confusa após o desaparecimento das postagens iniciais. Cerca de 30 minutos depois, um aparente pedido de desculpas apareceu na conta da Microsoft, afirmando que a empresa não apoiava a criptomoeda e alertando sobre o uso não autorizado de sua propriedade intelectual.
Essa postagem também foi deletada. A Microsoft confirmou posteriormente que também não publicou o pedido de desculpas, o que significa que os atacantes aparentemente continuaram a postar da conta após a remoção da promoção original.
A Microsoft posteriormente retomou o controle da conta e excluiu o conteúdo não autorizado. A empresa afirmou ter confirmado o acesso não autorizado e continuar investigando como o incidente ocorreu.
A conta X que a Microsoft inicialmente seguiu durante o compromisso foi suspensa desde então. No entanto, outra conta associada à promoção $Clippy continuou anunciando o token após a conta da Microsoft ter sido segura.
Atualmente, não há evidências confirmadas de quanto criptomoeda, se houver, os usuários perderam por causa da campanha. A Microsoft também não revelou se os atacantes obtiveram suas credenciais X por meio de phishing, roubo de informações de sessão ou outro método.
O incidente mostra por que postagens de contas corporativas verificadas em redes sociais não devem ser automaticamente confiáveis quando elas promovem criptomoedas de repente. Atacantes que comprometem uma conta conhecida podem imediatamente pegar emprestada a reputação da empresa e alcançar milhões de potenciais vítimas antes que o proprietário legítimo recupere o controle.