Nopludināti Twitter dati par 5 miljoniem lietotāju atkārtoti kopīgoti tiešsaistē bez maksas

Privātie Twitter dati, kas attiecas uz 5 miljoniem lietotāju, tika atkārtoti kopīgoti hakeru forumā pagājušajā ceturtdienā pēc pirmās noplūdes jūlijā. 

Tā kā jūlija noplūdes cena bija USD 30,000 XNUMX, ceturtdienas izgāztuve tika nodrošināta bez maksas. 

Atklāta lietotāja privātā informācija

Pompompurins, hakeru foruma HackerOne īpašnieks, apstiprināts BleepingComputer nedēļas nogalē, ka viņa vietne bija atbildīga par sākotnējo datu izgāztuvi.

Decembrī tika atklāta Twitter API kļūda kā daļa no foruma kļūdu novēršanas programmas, kas ļauj cilvēkiem izgūt noteiktus Twitter ID, iesniedzot saistīto tālruņa numuru vai e-pasta adresi. Tas ļāva apdraudējuma dalībniekiem izveidot lietotāju ierakstus miljoniem kontu, izmantojot gan publisko, gan privāto informāciju. 

Līdz jūlijam tika savākts pietiekami daudz datu, lai draudu aktieris varētu sākt darboties pārdod 5.4 miljonu lietotāju privātā informācija par 30,000 XNUMX USD tiešsaistes forumā. Šie dati ietvēra tālruņu numurus un e-pasta adreses, kā arī publisko informāciju, piemēram, vārdus, Twitter ID, atrašanās vietas, pieteikumvārdus un verificēto statusu. 

Turklāt notika otrs datu pārkāpums, kas skāra 1.4 miljonus apturēto lietotāju, un kopējais skarto profilu skaits sasniedza gandrīz 7 miljonus. 

Datu pakete, kas ietekmēja 5.4 miljonus lietotāju, 24. novembrī tika brīvi atkārtoti kopīgota hakeru forumā. Pēc Pompompurina teiktā, tie patiešām ir tie paši dati, kas jūlijā un augustā tika pārdoti par tūkstošiem dolāru. 

"Šajos ierakstos ir vai nu privāta e-pasta adrese vai tālruņa numurs, kā arī publiski izkopti dati, tostarp konta Twitter ID, vārds, segvārds, verificēts statuss, atrašanās vieta, URL, apraksts, sekotāju skaits, konta izveides datums, draugu skaits, izlases skaits , statusu skaits un profila attēlu vietrāži URL,” rakstīja BleepingComputer. 

Vēl viens lielāks pārkāpums?

Lai gan API kļūda, kas tika izmantota datu atklāšanai, tika novērsta līdz 2022. gada janvārim, tiek ziņots, ka tas pats izmantojums tika izmantots, lai ieviestu vēl lielāku datu pārkāpumu. 

Drošības eksperts Čads Loders apgalvoja, tikpat daudz Twitter pagājušajā trešdienā, sakot, ka ir saņēmis "pierādījumus" par pārkāpumu, kas ietekmējis miljoniem amerikāņu un Eiropas lietotāju. "Datu kopā ir pārbaudīti konti, slavenības, ievērojami politiķi un valdības aģentūras," viņš piebilda.

Čada Lodera konts tika apturēts neilgi pēc viņa apgalvojumu publicēšanas. 

Vairāki kriptovalūtu uzņēmumi ieskaitot Celsius un OpenSea jūlijā tika piedzīvots e-pasta datu pārkāpums, ko izraisīja neapmierināts Customer.io darbinieks, kas apstrādāja abu uzņēmumu klientu saziņu.