Bạn biết điều gì điên rồ không? Vụ hack lớn nhất trên Twitter không đến từ một đơn vị chiến tranh mạng Nga hay một tổ chức hacker tinh nhuệ nào đó. Nó đến từ một thiếu niên nghèo ở Florida chỉ có một chiếc laptop và sự táo bạo để thực sự thực hiện điều đó. Tôi đang nói về Graham Ivan Clark — và câu chuyện của anh ấy thực sự là một trong những trường hợp kỹ thuật xã hội hấp dẫn nhất mà tôi từng đọc.

Vì vậy, đây là điều khiến tôi tò mò: vào ngày 15 tháng 7 năm 2020, toàn bộ internet đột nhiên đóng băng. Các tài khoản xác thực ở khắp nơi — Elon Musk, Obama, Bezos, Apple, Biden — đều đăng cùng một thông điệp yêu cầu mọi người gửi Bitcoin. Ban đầu mọi người nghĩ đó chỉ là một meme phức tạp. Nhưng không phải vậy. Đây không phải là ảnh chụp màn hình hoặc tài khoản giả mạo. Những tweet đó đang hoạt động trực tiếp. Thật. Và một thiếu niên đã kiểm soát được những tiếng nói quyền lực nhất của Twitter.

Trong vòng vài phút, hơn 110.000 đô la Bitcoin bắt đầu đổ vào các ví. Trong vòng vài giờ, Twitter đã làm điều chưa từng có — họ khóa tất cả các tài khoản xác thực trên toàn cầu. Và người đứng sau tất cả? Chỉ là một cậu bé 17 tuổi với một chiếc điện thoại rác.

Điều còn điên rồ hơn là làm thế nào Graham Ivan Clark thực sự đến được đó. Lớn lên ở Tampa với hầu như không có gì, anh bắt đầu nhỏ bé — chạy các trò lừa đảo Minecraft, hack các kênh YouTuber để trả thù, giao dịch các tài khoản mạng xã hội bị đánh cắp trên các diễn đàn ngầm. Nhưng anh không cần kỹ năng lập trình. Anh hiểu điều gì đó còn mạnh mẽ hơn nhiều: tâm lý con người. Đến 15 tuổi, anh đã tham gia sâu vào OGUsers, học nghệ thuật đen của kỹ thuật xã hội.

Sau đó anh phát hiện ra SIM swapping. Đây là nơi mọi thứ trở nên tối tăm hơn. Anh thuyết phục nhân viên các công ty điện thoại chuyển quyền kiểm soát số điện thoại của người khác cho anh. Đột nhiên anh có quyền truy cập vào email, ví crypto, tài khoản ngân hàng của họ — mọi thứ. Một nhà đầu tư mạo hiểm thức dậy và phát hiện hơn một triệu Bitcoin đã biến mất. Khi anh liên hệ với những tên trộm, họ gửi lại một tin nhắn: trả tiền hoặc chúng sẽ đến nhà bạn.

Số tiền đó khiến anh trở nên liều lĩnh. Anh lừa đảo chính các đối tác của mình. Họ đến nhà anh. Cuộc sống offline của anh bắt đầu rối loạn — ma túy, liên kết với băng đảng, hỗn loạn. Một người bạn bị bắn chết trong một vụ làm ăn thất bại. Đến năm 2019, cảnh sát đột kích nơi ở của anh và tìm thấy 400 Bitcoin. Anh trả lại một triệu để biến nó mất tích. Anh mới 17 tuổi. Vì còn là vị thành niên, anh giữ phần còn lại hợp pháp.

Nhưng Graham Ivan Clark không hài lòng. Anh muốn một phi vụ cuối cùng trước khi đủ 18 tuổi. Anh muốn chính Twitter.

Trong thời gian phong tỏa COVID, nhân viên Twitter làm việc từ nhà, đăng nhập từ thiết bị cá nhân. Graham và một thiếu niên khác giả làm nhân viên hỗ trợ CNTT nội bộ. Họ gọi điện cho nhân viên, gửi các trang đăng nhập giả mạo của công ty, và xem họ sập bẫy. Từng bước, họ leo qua hệ thống của Twitter cho đến khi tìm thấy một tài khoản gọi là chế độ Thượng đế — một bảng điều khiển có thể đặt lại mọi mật khẩu trên nền tảng. Hai thiếu niên đột nhiên kiểm soát 130 trong số những tài khoản quyền lực nhất thế giới.

FBI bắt giữ anh trong vòng hai tuần bằng cách sử dụng nhật ký IP, tin nhắn Discord và dữ liệu SIM. Anh đối mặt với 30 cáo buộc hình sự và có thể bị phạt tù tới 210 năm. Nhưng điều quan trọng là — vì anh còn là vị thành niên, anh chỉ thụ án ba năm trong tù trẻ vị thành niên. Anh 17 tuổi khi phá vỡ Twitter. Anh 20 tuổi khi ra tù.

Và bây giờ? Graham Ivan Clark đang tự do. Giàu có. Không bị tổn thương. Trong khi đó, X — thứ Twitter đã trở thành — tràn ngập những trò lừa đảo crypto giống hệt đã làm anh giàu có. Những trò kỹ thuật xã hội tương tự. Cách tâm lý đó vẫn còn hiệu quả trên hàng triệu người mỗi ngày.

Bài học thực sự ở đây không phải về hack mã. Đó là cách những kẻ lừa đảo hack con người. Họ dùng sự cấp bách. Họ khai thác lòng tin. Họ mạo danh các tài khoản xác thực. Họ gửi bạn đến các trang đăng nhập giả mạo. Và điều đó thành công vì sợ hãi, tham lam và lòng tin mới là những điểm yếu thực sự — chứ không phải hệ thống. Graham Ivan Clark đã chứng minh bạn không cần phải phá vỡ hạ tầng nếu có thể lừa gạt con người vận hành nó. Đó mới là vụ hack thực sự.