Twitter ha sufrido una filtración de datos después de que los atacantes usaran una vulnerabilidad para crear una base de datos de números de teléfono y direcciones de correo electrónico pertenecientes a 5,4 millones de cuentas, y los datos ahora están a la venta en un foro por 30.000 dólares.
Ayer, un actor de amenazas conocido como «devil» dijo en un mercado de datos robados que la base de datos contiene información sobre varias cuentas, incluidas celebridades, empresas y usuarios aleatorios.
Hola, hoy les presento los datos recopilados sobre múltiples usuarios que usan Twitter a través de una vulnerabilidad (5.485.636 usuarios para ser exactos). Estos usuarios van desde celebridades hasta empresas, aleatorios, OG, etc.»
En una conversación con el actor de amenazas, dijo que «usaron una vulnerabilidad para recopilar los datos en diciembre de 2021. Ahora están vendiendo los datos por U$S 30.000 y que los compradores interesados ya se han acercado a ellos».
Como informó por primera vez Restore Privacy, la vulnerabilidad utilizada para recopilar los datos es la misma que se reveló a Twitter a través de HackerOne el 1 de enero y se corrigió el 13 de enero.
«La vulnerabilidad permite que cualquier parte sin ninguna autenticación obtenga una ID de Twitter (que es casi igual a obtener el nombre de usuario de una cuenta) de cualquier usuario enviando un número de teléfono/correo electrónico a pesar de que el usuario ha prohibido esta acción en la configuración de privacidad», se lee en la divulgación de vulnerabilidades del investigador de seguridad «zhirinovskiy». «El error existe debido al proceso de autorización utilizado en el Cliente Android de Twitter, específicamente en el proceso de verificación de la duplicación de una cuenta de Twitter».
Sin embargo, Devil le dijo a BleepingComputer que no están afiliados a zhirinovskiy y que nunca han usado HackerOne.
Esta vulnerabilidad es similar a la que permitió realizar scrapping a Facebook sobre 533 millones de usuarios en 2021.
Datos filtrados verificados
Hasta el momento Twitter no ha confirmado la violación de datos y dijo que están investigando la autenticidad de las afirmaciones. «Estamos revisando los datos recientes para verificar la autenticidad de los reclamos y garantizar la seguridad de las cuentas en cuestión».
Sin embargo, BleepingComputer verificó con algunos de los usuarios de Twitter enumerados en una pequeña muestra de datos compartidos por el atacante que la información privada (direcciones de correo electrónico y números de teléfono) es precisa. Dado que solo se puedo verificar una pequeña cantidad de usuarios enumerados en los datos extraídos, es imposible decir si las 5,4 millones de cuentas vendidas son válidas.
Aunque la mayoría de los datos que se venden están disponibles públicamente, los actores de amenazas pueden usar las direcciones de correo electrónico y los números de teléfono en ataques de phishing dirigidos.
Por lo tanto, todos los usuarios de Twitter deben estar atentos al recibir correos electrónicos (falsos) de Twitter, especialmente si le piden que ingrese las credenciales de inicio de sesión, lo que los usuarios solo deben hacer en el sitio real.
Si bien los datos (aún) no han sido publicados de forma abierta, se recomienda cambiar la contraseña y activar el 2FA en la cuenta de Twitter.
