La violación de datos de Twitter expone los datos de contacto de 5,4 millones de cuentas; a la venta por $30,000

Una violación de datos en Twitter le dio a un atacante acceso a los detalles de contacto de 5,4 millones de cuentas. Twitter ha confirmado la falla de seguridad que permitió la extracción de datos.

Los datos, que vinculan los identificadores de Twitter con los números de teléfono y las direcciones de correo electrónico, se ofrecieron a la venta en un foro de piratería informática por 30 000 dólares...

Restore Privacy informa que la violación fue posible gracias a una vulnerabilidad descubierta en enero.

Un actor malicioso aprovechó una vulnerabilidad verificada de Twitter de enero para obtener datos de cuentas de supuestamente 5,4 millones de usuarios. Si bien Twitter corrigió la vulnerabilidad desde entonces, la base de datos supuestamente adquirida a partir de este exploit ahora se vende en un popular foro de piratería publicado hoy.

En enero, se realizó un informe en HackerOne sobre una vulnerabilidad que permite a un atacante adquirir el número de teléfono y/o la dirección de correo electrónico asociados con las cuentas de Twitter, incluso si el usuario ha ocultado estos campos en la configuración de privacidad […]

Un actor malicioso ahora está vendiendo datos supuestamente adquiridos a partir de esta vulnerabilidad. Hoy temprano notamos que un nuevo usuario vendía la base de datos de Twitter en Breached Forums, el notorio foro de piratería que captó la atención internacional a principios de este mes con una violación de datos que expuso a más de mil millones de personas residentes chinos.

La publicación aún está activa y la base de datos de Twitter, que se cree que tiene 5,4 millones de usuarios, está a la venta. El vendedor en el foro de piratería usa el nombre de usuario "diablo" y afirma que el conjunto de datos incluye "celebridades, corporaciones, aleatorios, OG, etc."

El propietario del foro de piratería ha verificado la autenticidad del ataque y Restaurar privacidad también indica que se extrajeron dos muestras de la base de datos.

Descargamos la base de datos de muestra para su verificación y análisis. Incluye personas de todo el mundo, con información de perfil público así como el correo electrónico o número de teléfono del usuario de Twitter utilizado con la cuenta.

Todas las muestras que revisamos son personas del mundo real que se pueden verificar fácilmente con perfiles públicos en Twitter.

El sitio de privacidad contactó al vendedor y le dijeron que el precio de la base de datos era de $30,000.

HackerOne cubrió la vulnerabilidad en enero, que permitía a cualquiera ingresar un número de teléfono o una dirección de correo electrónico y luego encontrar el twitterID asociado. Esta es una identificación interna utilizada por Twitter, pero se puede convertir fácilmente en una identificación de Twitter.

Esta es una amenaza grave, ya que los usuarios no solo pueden encontrar usuarios que tienen una capacidad de búsqueda restringida por correo electrónico o número de teléfono, sino que cualquier atacante con conocimientos básicos de secuencias de comandos o codificación puede enumerar gran parte de la base de usuarios de Twitter que no está disponible para la enumeración previa (crear un base de datos con inicios de sesión de teléfono/correo electrónico a nombre de usuario). Estas bases de datos se pueden vender a partes malintencionadas con fines publicitarios o para apuntar a celebridades en diferentes actividades maliciosas.

Otra característica interesante que descubrí es que incluso puedes encontrar los ID de las cuentas de Twitter suspendidas usando este método.

Es probable que el atacante obtuviera bases de datos existentes de números de teléfono y direcciones de correo electrónico obtenidas a través de infracciones de otros servicios, y luego usó esa información para encontrar identificadores de Twitter coincidentes.

Actualmente no hay forma de verificar si su cuenta está incluida en la violación de datos de Twitter. Como siempre, vale la pena estar atento a los ataques de phishing: correos electrónicos que afirman ser de Apple, su banco, PayPal, proveedor de correo electrónico, etc. y le solicitan que inicie sesión en su cuenta.

Las tácticas comunes de phishing son un mensaje que le informa que su cuenta corre el riesgo de ser eliminada o el envío de un recibo falso por una compra de alto valor, junto con un enlace para disputar el cargo.

>

La protección principal aquí es nunca hacer clic en enlaces enviados en correos electrónicos. Utilice siempre sus propios marcadores o introduzca una URL conocida.

FTC: utilizamos enlaces de afiliados automáticos que generan ingresos. Más.