2022年11月28日
推特遭受了大規(guī)模數(shù)據(jù)泄露事件暴露了其客戶的電子郵件和電話號碼，預(yù)計影響到多達(dá)540多萬用戶。據(jù)悉，這些數(shù)據(jù)是通過利用這個流行的社交媒體平臺中一個現(xiàn)已修復(fù)的漏洞獲得的。
威脅者在流行的黑客論壇Breached Forums上提供出售被盜數(shù)據(jù)。1月，一份發(fā)表在Hacker上的報告聲稱發(fā)現(xiàn)了一個漏洞，攻擊者可以利用這個漏洞通過相關(guān)的電話號碼/電子郵件找到Twitter賬戶，即使用戶在隱私選項中選擇了防止這種情況。
該漏洞允許任何一方在沒有任何認(rèn)證的情況下，通過提交電話號碼/電子郵件獲得任何用戶的twitter ID（這幾乎等同于獲得一個賬戶的用戶名），即使用戶在隱私設(shè)置中已經(jīng)禁止了這一行為。該漏洞的存在是由于Twitter的安卓客戶端所使用的授權(quán)程序，特別是在檢查Twitter賬戶的重復(fù)性的程序。
zhirinovskiy通過漏洞賞金平臺HackerOne提交的報告中讀到了這樣的描述。這是一個嚴(yán)重的威脅，因為人們不僅可以通過電子郵件/電話號碼找到那些被限制了能力的用戶，而且任何具有基本腳本/編碼知識的攻擊者都可以枚舉一大塊之前無法枚舉的Twitter用戶群（創(chuàng)建一個具有電話/電子郵件到用戶名連接的數(shù)據(jù)庫）。這樣的數(shù)據(jù)庫可以賣給惡意的一方，用于廣告目的，或者用于在不同的惡意活動中給名人打標(biāo)簽。
賣家聲稱，該數(shù)據(jù)庫包含從名人到公司的用戶數(shù)據(jù)（即電子郵件、電話號碼），賣家還以csv文件的形式分享了一份數(shù)據(jù)樣本。
8月，Twitter證實，數(shù)據(jù)泄露是由研究人員zhirinovskiy通過漏洞賞金平臺HackerOne提交的現(xiàn)已修補的零日漏洞造成的，他獲得了5040美元的賞金。
據(jù)悉，這個錯誤是由2021年6月對我們的代碼進(jìn)行更新導(dǎo)致的。當(dāng)我們得知此事時，我們立即進(jìn)行了調(diào)查并修復(fù)了它。當(dāng)時，我們沒有證據(jù)表明有人利用了這個漏洞。
本周，網(wǎng)站9to5mac.com聲稱，數(shù)據(jù)泄露的內(nèi)容比該公司最初報告的要多。該網(wǎng)站報告說，多個威脅者利用了同一個漏洞，網(wǎng)絡(luò)犯罪地下的數(shù)據(jù)有不同的來源。去年Twitter的一次大規(guī)模數(shù)據(jù)泄露，暴露了500多萬個電話號碼和電子郵件地址，比最初報告的情況更糟糕。我們已經(jīng)看到證據(jù)表明，同一個安全漏洞被多人利用，而被黑的數(shù)據(jù)已經(jīng)被幾個來源提供給暗網(wǎng)出售。
9to5Mac的說法是基于由不同的威脅行為者提供的包含不同格式的相同信息的數(shù)據(jù)集的可用性。消息人士告訴該網(wǎng)站，該數(shù)據(jù)庫 "只是他們看到的一些文件中的一個"。似乎受影響的賬戶只是那些在2021年底啟用了 "可發(fā)現(xiàn)性|電話選項（在Twitter的設(shè)置中很難找到）"的賬戶。
9to5Mac看到的檔案包括屬于英國、幾乎所有歐盟國家和美國部分地區(qū)的Twitter用戶的數(shù)據(jù)。專家們推測，多個威脅者可以進(jìn)入Twitter數(shù)據(jù)庫，并將其與其他安全漏洞的數(shù)據(jù)相結(jié)合。
賬號@chadloder（Twitter在消息披露后）背后的安全研究員告訴9to5Mac.電子郵件-Twitter配對是通過這個Twitter可發(fā)現(xiàn)性漏洞運行現(xiàn)有的1億多電子郵件地址的大型數(shù)據(jù)庫得出的"。該研究人員告訴該網(wǎng)站，他們將與Twitter聯(lián)系以征求意見，但整個媒體關(guān)系團(tuán)隊都離開了該公司。
文字來源：E安全