安全漏洞的定时炸弹。掩盖安全故障。欺骗监管者和误导立法者。
这些只是推特前安全负责人佩特·扎特科（Peiter Zatko）周二向参议院司法委员会作证时提出的一些指控，距离他向联邦监管机构提交的爆炸性举报人投诉发布不到一个月。 Zatko，更为人所知的是 Mudge，自他的投诉公开发布以来发表了他的第一次评论。
推特没有回应置评请求。
这些是 Mudge 向立法者作证的主要内容，也是我们从周二的听证会上了解到的。
联邦调查局警告推特它有一名中国间谍在工作人员
参议院司法委员会高级成员、参议员查克格拉斯利在开幕词中表示，联邦调查局警告推特，其工资单上可能有一名中国间谍。
上个月发布的 Mudge 举报人投诉的编辑版本称，Twitter 从美国政府收到了具体信息，称“一名或多名特定公司员工正在代表另一家特定的外国情报机构工作”。当时没有透露外国情报人员的国籍。
但马奇告诉专家组，该间谍是中国国家安全部（MSS）的特工，该部是该国的主要情报机构。他补充说，由于 Twitter 工程师（大约 4,000 名员工）可以广泛访问公司数据，因此聘请为工程师的外国代理人可以访问个人用户信息和潜在的其他敏感公司信息，例如 Twitter 计划在某个地区审查信息或屈服于政府要求的要求。但由于 Twitter没有密切监控或记录员工的访问，根据他的投诉，Mudge 表示，要确定 Twitter 员工作为外国代理人获取了哪些具体数据“非常困难”。
这位中国间谍并不是 Twitter 工资单上唯一的外国政府代理人。 Mudge 在他的投诉中说，印度政府“成功地将代理人列入了公司的工资单”，这些代理人被授予“直接不受监督地访问公司系统和用户数据的权限”。 8 月，一名前 Twitter 员工被判为沙特政府从事间谍活动并交出疑似持不同政见者的用户数据。
每周有数千次入侵 Twitter 的尝试
Mudge 投诉中的一个共同主题是 Twitter 无法了解工程师可以访问哪些数据，或者他们正在访问哪些用户数据或公司信息。但马奇告诉国会议员，一个跟踪 Twitter 工程师登录的系统发现，它每周都会记录“数千次”登录 Twitter 系统的失败尝试。
Mudge 在他的投诉中说，该公司每天看到多达 3,000 次失败的尝试，将其描述为“巨大的危险信号”。投诉补充说，马奇说，当时的 Twitter 首席技术官 Parag Agrawal（现任首席执行官）没有指派任何人诊断或解决问题。
“在 Twitter 内部基本缺乏日志记录是其基础设施、工程和工程师没有能力将事情落实到位以实现现代化的遗留问题，”Mudge 作证说。
Twitter 对其用户的了解，以及为什么间谍想要它
鉴于 Twitter 对用户信息的访问控制明显松懈，立法者向 Mudge 询问 Twitter 从其用户那里收集了哪些特定类型的数据。 Mudge 说 Twitter 并不完全了解它收集的数据的规模。
他说，Twitter 收集的数据包括：用户的电话号码、用户连接的当前和过去的 IP 地址、当前和过去的电子邮件地址、基于 IP 地址的人的大致位置，以及有关人的设备或浏览器的信息他们通过品牌和型号以及用户的语言访问 Twitter。
马奇说，工程师有可能获得这些信息，这将成为外国情报机构的一个有吸引力的目标。他引用的原因之一是，政府可以针对特定群体并密切关注 Twitter 对其代理人或信息运营的了解，这将是有帮助的。
Mudge 还警告说，Twitter 用户信息可能被用于骚扰或针对个人，作为现实世界中影响力操作的一部分，例如家庭成员或同事，并被用作在不知情的情况下影响与他们亲近的人的杠杆。 “它可能会与其他数据收集一起使用，”Mudge 告诉立法者，并引用了之前的违规行为，包括大规模盗窃健康数据和美国政府人事档案，例如 2012 年美国人事管理办公室的 2200 万条记录被盗。Mudge告诉立法者，他自己的 OPM 文件在他为联邦政府工作时被盗。
美国政府机构让公司“给自己的作业评分”
Mudge 的投诉和随后的证词是在Twitter 与联邦贸易委员会因违反 2011 年隐私协议而支付 1.5 亿美元达成和解后几个月，该公司使用电子邮件和电话数据来保护他们的账户，但随后将相同的信息用于有针对性的广告。
Mudge 告诉立法者，虽然政府机构有责任执行法律并且他们有正确的意图，但他指责 FTC 允许公司“对自己的作业进行评分”，“有点过头了”。在回答参议员理查德布卢门撒尔提出的问题时，马奇提到了 2011 年的隐私协议并问道：“[推特] 是如何通过这个协议的？”
谈到监管机构及其执法权力，马奇告诉立法者：“我所看到的，工具带中的工具不起作用。”
当 Twitter 举报人 Mudge由Zack Whittaker向国会作证时，我们学到了什么，最初发表在TechCrunch上
原文： https://techcrunch.com/2022/09/13/twitter-whistleblower-mudge-congress/