Σε μια δήλωση, το Twitter επιβεβαίωσε ότι η πρόσφατη διαρροή δεδομένων εκατομμυρίων προφίλ χρηστών – που περιελάμβανε ιδιωτικούς αριθμούς τηλεφώνου και διευθύνσεις ηλεκτρονικού ταχυδρομείου – οφειλόταν σε μια παραβίαση δεδομένων που αποκάλυψε η εταιρεία τον Αύγουστο του 2022 (η παραβίαση έλαβε χώρα το 2021).
Η ομάδα αντιμετώπισης περιστατικών ασφαλείας του Twitter διεξήγαγε ανάλυση των δεδομένων χρηστών που διέρρευσαν πρόσφατα και διαπίστωσε ότι συλλέχθηκαν μέσω μιας ευπάθειας ασφαλείας, που είχε διορθωθεί τον Ιανουάριο του 2022.
Δείτε επίσης: Εντοπίστηκε σοβαρό ελάττωμα στην δημόσια γκαλερί Amazon ECR
Σύμφωνα με τη δήλωση του Twitter, τον Ιούλιο του 2022, έγινε γνωστό μέσα από δημοσιεύματα, ότι κάποιος είχε αξιοποιήσει την ευπάθεια και είχε συγκεντρώσει πληροφορίες χρηστών, τις οποίες ήθελε να πουλήσει. Η εταιρεία αναφέρει ότι εξέτασε ένα δείγμα των διαθέσιμων δεδομένων προς πώληση και επιβεβαίωσε ότι κάποιος κακόβουλος χρήστης είχε εκμεταλλευτεί το κενό ασφαλείας πριν αντιμετωπιστεί. Εκείνη τη στιγμή, η εταιρεία κοινωνικής δικτύωσης ενημέρωσε τους χρήστες που είχαν επηρεαστεί από τη διαρροή δεδομένων.
“Τον Νοέμβριο του 2022, ορισμένα δημοσιεύματα ανέφεραν ότι δεδομένα χρηστών του Twitter είχαν διαρρεύσει στο διαδίκτυο“, αναφέρει η ενημέρωση.
“Μόλις πληροφορηθήκαμε την είδηση, το Incident Response Team του Twitter συνέκρινε τα δεδομένα στη νέα αναφορά με τα δεδομένα που αναφέρθηκαν από τα μέσα ενημέρωσης στις 21 Ιουλίου 2022. Η σύγκριση έδειξε ότι τα εκτεθειμένα δεδομένα ήταν τα ίδια και στις δύο περιπτώσεις“, λέει το Twitter.
Δεδομένα χρηστών διέρρευσαν σε hacking forum
Τον Ιανουάριο του 2022, το Twitter ενημερώθηκε για ένα σφάλμα που επέτρεπε σε κάποιον να εισάγει μια διεύθυνση ηλεκτρονικού ταχυδρομείου ή έναν αριθμό τηλεφώνου και να λάβει το Twitter ID οποιουδήποτε εγγεγραμμένου λογαριασμού που σχετίζεται με αυτό.
Δείτε επίσης: ChatGPT: Το AI bot θα μπορούσε να βοηθήσει κυβερνοεγκληματίες
Αυτό θα μπορούσε να αποτελέσει σημαντικό κίνδυνο για την προστασία της ιδιωτικής ζωής των χρηστών του Twitter που δεν θέλουν να δημοσιοποιήσουν τους αριθμούς τηλεφώνου και τις διευθύνσεις email τους.
Μέχρι τη στιγμή που το Twitter διόρθωσε το πρόβλημα, ένας κακόβουλος φορέας είχε ήδη εκμεταλλευτεί την ευπάθεια για να εισάγει εκατομμύρια διευθύνσεις ηλεκτρονικού ταχυδρομείου και αριθμούς τηλεφώνου και να δημιουργήσει προφίλ για 5,4 εκατομμύρια χρήστες που περιείχαν τόσο δημόσια όσο και ιδιωτικά δεδομένα.
Τα δεδομένα που συλλέχθηκαν τέθηκαν προς πώληση σε hacking forum τον Ιούλιο του 2022. Η ζητούμενη τιμή ήταν 30.000 δολάρια.
Τον Σεπτέμβριο του 2022 και τον Νοέμβριο του 2022, ένας hacker κυκλοφόρησε ένα αρχείο JSON που περιείχε το πλήρες σετ των 5,4 εκατομμυρίων αρχείων που συγκεντρώθηκαν το 2021.
Περίπου την ίδια περίοδο, ένας ερευνητής μοιράστηκε επίσης δείγματα ενός επιπλέον συνόλου προφίλ Twitter που είχαν συγκεντρωθεί χρησιμοποιώντας την ίδια ευπάθεια. Αυτά τα προφίλ δεν περιλαμβάνονταν στην αρχική διαρροή δεδομένων 5,4 εκατομμυρίων χρηστών του Twitter.
Αυτό το σύνολο δεδομένων λέγεται ότι είναι πολύ πιο εκτεταμένο, καθώς φέρεται να περιέχει 17 εκατομμύρια εγγραφές που συλλέχθηκαν χρησιμοποιώντας το ίδιο σφάλμα API.
Το BleepingComputer χρησιμοποίησε ένα δείγμα αυτών των νέων δεδομένων για να επικοινωνήσει με τους χρήστες Twitter και επιβεβαίωσε ότι ο αριθμός τηλεφώνου που διέρρευσε ανήκε σε αυτούς.
Ενώ η τελευταία ενημέρωση του Twitter επιβεβαιώνει ότι τα δεδομένα που διέρρευσαν τον περασμένο μήνα σχετίζονται με την ευπάθεια που είχε ήδη αποκαλυφθεί, η εταιρεία δεν έχει ακόμη ανακοινώσει πόσοι χρήστες επηρεάστηκαν.
Το Twitter προτείνει στους χρήστες να λαμβάνουν πρόσθετα μέτρα ασφαλείας, όπως έλεγχο ταυτότητας δύο παραγόντων, χρήση εφαρμογών ελέγχου ταυτότητας ή hardware keys. Επίσης, ζητά από τους χρήστες να είναι εξαιρετικά προσεκτικοί με μηνύματα ή emails που αναφέρονται στο λογαριασμό τους στο Twitter.
Δείτε επίσης: Stalkerware εφαρμογές κατακλύζουν συσκευές iPhone και Android
“Ενθαρρύνουμε τους χρήστες του Twitter να παραμείνουν ιδιαίτερα προσεκτικοί όταν λαμβάνουν οποιουδήποτε είδους επικοινωνία μέσω email, καθώς οι φορείς απειλών ενδέχεται να αξιοποιήσουν τις πληροφορίες που διέρρευσαν για να δημιουργήσουν πολύ αποτελεσματικές εκστρατείες ηλεκτρονικού ψαρέματος“, προειδοποιεί το Twitter.
Σε έναν κόσμο όπου η τεχνολογία ενσωματώνεται όλο και περισσότερο στη ζωή μας, οι παραβιάσεις δεδομένων γίνονται όλο και μεγαλύτερη ανησυχία. Μια παραβίαση / διαρροή δεδομένων είναι ένα περιστατικό που περιλαμβάνει τη μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες από κακόβουλο τρίτο μέρος. Τα περιστατικά αυτά μπορεί να έχουν σημαντικές συνέπειες για τους ιδιοκτήτες επιχειρήσεων, τους πελάτες και τους υπαλλήλους.
Πηγή: www.bleepingcomputer.com