Утечка данных Twitter о 5 миллионах пользователей бесплатно распространялась в сети

Частные данные Twitter, относящиеся к 5 миллионам пользователей, были переданы на хакерский форум в прошлый четверг после первой утечки в июле.

В то время как июльская утечка стоила 30 000 долларов, дамп в четверг был предоставлен бесплатно.

Раскрыта личная информация пользователя

Помпомпурин, владелец хакерского форума HackerOne, подтвержденный в BleepingComputer на выходных, что его сайт был ответственен за первоначальный дамп данных.

Еще в декабре в рамках программы форума по поиску ошибок была обнаружена ошибка Twitter API, которая позволяет людям получать определенные идентификаторы Twitter, отправляя соответствующий номер телефона или адрес электронной почты. Это позволило злоумышленникам создавать учетные записи пользователей на миллионах учетных записей, используя как общедоступную, так и личную информацию.

К июлю было собрано достаточно данных для запуска злоумышленника продавать личная информация 5,4 миллиона пользователей за 30 000 долларов на онлайн-форуме. Эти данные включали номера телефонов и адреса электронной почты, а также общедоступную информацию, такую ​​как имена, идентификаторы Twitter, местоположения, имена для входа и подтвержденный статус.

Кроме того, было обнаружено второе нарушение данных, затронувшее 1,4 миллиона заблокированных пользователей, в результате чего общее количество затронутых профилей достигло почти 7 миллионов.

Пакет данных, затрагивающий 5,4 миллиона пользователей, был свободно опубликован на хакерском форуме 24 ноября. По словам Помпомпурина, это фактически те же данные, которые продавались за тысячи долларов в июле и августе.

«Эти записи содержат либо частный адрес электронной почты, либо номер телефона, а также общедоступные очищенные данные, включая идентификатор учетной записи в Твиттере, имя, отображаемое имя, подтвержденный статус, местоположение, URL-адрес, описание, количество подписчиков, дату создания учетной записи, количество друзей, количество избранных, количество статусов и URL-адреса изображения профиля», — пишет BleepingComputer.

Еще одно серьезное нарушение?

Хотя уязвимость API, используемая для обнаружения данных, была устранена к январю 2022 года, тот же эксплойт использовался для еще более крупной утечки данных.

Эксперт по безопасности Чад Лодер утверждал столько же в Твиттере в прошлую среду, заявив, что он получил «доказательства» взлома, затронувшего миллионы пользователей в США и Европе. «Набор данных включает проверенные учетные записи, знаменитостей, видных политиков и правительственные учреждения», — добавил он.

Аккаунт Чада Лодера был заблокирован вскоре после публикации его утверждений.

Несколько крипто-компаний включая Celsius и OpenSea пострадали от утечки данных электронной почты в июле, вызванной недовольным сотрудником Customer.io, который занимался общением с клиентами для обеих фирм.