Επιβεβαιωμένο κενό ασφαλείας του Twitter αποκαλύπτει δεδομένα από 5,4 εκατομμύρια λογαριασμούς

Σύμφωνα με τον δικτυακό τόπο 9to5Mac, μια παραβίαση δεδομένων Twitter επέτρεψε τη πρόσβαση στα στοιχεία επικοινωνίας 5,4 εκατομμυρίων λογαριασμών. Το Twitter επιβεβαίωσε το κενό ασφαλείας που επέτρεψε την εξαγωγή των δεδομένων. Τα δεδομένα — τα οποία συνδέουν το Twitter με τους αριθμούς τηλεφώνου και τις διευθύνσεις ηλεκτρονικού ταχυδρομείου — έχουν προσφερθεί προς πώληση σε φόρουμ hacking, για 30.000 δολάρια... Δεν υπάρχει ακόμη τρόπος να ελεγχθεί εάν ο λογαριασμός σας περιλαμβάνεται στην παραβίαση δεδομένων Twitter.

Ο ιστότοπος ειδήσεων ασφαλείας Restore Privacy αναφέρει ότι τον Ιανουάριο, έγινε μια αναφορά για μια ευπάθεια που επιτρέπει σε έναν εισβολέα να αποκτήσει τον αριθμό τηλεφώνου ή/και τη διεύθυνση email που σχετίζεται με λογαριασμούς Twitter, ακόμα κι αν ο χρήστης έχει κρύψει αυτά τα πεδία στις ρυθμίσεις απορρήτου.

Το σφάλμα αφορούσε την εφαρμογή Twitter για Android και αφορούσε τη διαδικασία εξουσιοδότησης του Twitter.

Ο χρήστης "zhirinovskiy" του HackerOne υπέβαλε την αναφορά σφαλμάτων την 1η Ιανουαρίου του τρέχοντος έτους. Περιέγραψε τις πιθανές συνέπειες αυτής της ευπάθειας ως μια σοβαρή απειλή που θα μπορούσε να εκμεταλλευθούν κακόβουλοι χρήστες.

Στη συνέχεια, η αναφορά του HackerOne περιγράφει ακριβώς πώς μπορεί να αναπαραχθεί το κενό ασφαλείας για την απόκτηση πρόσβασης στα δεδομένα ενός στοχευμένου λογαριασμού Twitter.

Πέντε ημέρες μετά τη δημοσίευση της αναφοράς, το προσωπικό του Twitter αναγνώρισε ότι αυτό ήταν ένα «έγκυρο ζήτημα ασφάλειας» και υποσχέθηκε να διερευνήσει περαιτέρω. Αφού διερεύνησε περαιτέρω το ζήτημα και εργάστηκε για να διορθώσει την ευπάθεια, το Twitter απένειμε στον χρήστη zhirinovskiy ένα μπόνους 5.040 $.

Ενώ το Twitter έχει επιδιορθώσει από τότε την ευπάθεια, η βάση δεδομένων που φέρεται να αποκτήθηκε από αυτό το exploit πωλείται τώρα σε ένα δημοφιλές φόρουμ hacking, που δημοσιεύτηκε νωρίτερα σήμερα... Ο πωλητής στο φόρουμ hacking χρησιμοποιεί το όνομα χρήστη "devil" και ισχυρίζεται ότι το σύνολο δεδομένων περιλαμβάνει "Διασημότητες, σε εταιρείες, απλούς χρήστες, OGs, κ.λπ."