(https://i.postimg.cc/DZhkk7C6/Twitter-hack-2.jpg) (https://postimages.org/)
Twitter ha sufrido una violación de datos después de que los actores de amenazas usaran una vulnerabilidad para crear una base de datos de números de teléfono y direcciones de correo electrónico pertenecientes a 5,4 millones de cuentas, y los datos ahora están a la venta en un foro de hackers por 30.000 dólares.
(https://i.postimg.cc/kgJ8MLGF/Leaks-Market-Breach-Forums.png) (https://postimages.org/)
Ayer, un actor de amenazas conocido como "diablo" dijo en un mercado de datos robados que la base de datos contiene información sobre varias cuentas, incluidas celebridades, empresas y usuarios aleatorios.
"Hola, hoy les presento los datos recopilados sobre múltiples usuarios que usan Twitter a través de una vulnerabilidad (5485636 usuarios para ser exactos)", se lee en la publicación del foro que vende los datos de Twitter.
"Estos usuarios van desde celebridades hasta empresas, aleatorios, OG, etc."
(https://i.postimg.cc/ht2mXM7F/5-4-M-Users-via-Twitter-Breach-Forums.png) (https://postimg.cc/3kDN6XB9)
En una conversación con el actor de amenazas, declaró que usaron una vulnerabilidad para recopilar los datos en diciembre de 2021. Ahora están vendiendo los datos por $ 30,000 y que los compradores interesados ya se han acercado a ellos.
Como informó por primera vez Restore Privacy, la vulnerabilidad utilizada para recopilar los datos es la misma que se reveló a Twitter a través de HackerOne el 1 de enero y se corrigió el 13 de enero:
https://hackerone.com/reports/1439026
"La vulnerabilidad permite que cualquier parte sin ninguna autenticación obtenga una ID de Twitter (que es casi igual a obtener el nombre de usuario de una cuenta) de cualquier usuario enviando un número de teléfono/correo electrónico a pesar de que el usuario ha prohibido esta acción en la configuración de privacidad." se lee en la divulgación de vulnerabilidades del investigador de seguridad 'zhirinovskiy'.
"El error existe debido al proceso de autorización utilizado en el Cliente Android de Twitter, específicamente en el proceso de verificación de la duplicación de una cuenta de Twitter".
Sin embargo, Devil declaró que no están afiliados a zhirinovskiy y que nunca han usado HackerOne.
"No quiero tener problemas con el sombrero blanco que lo informó en H1. Supongo que muchas personas están tratando de conectarlo conmigo, estaría enojado si fuera él. Así que no puedo enfatizar esto lo suficiente, no tengo nada que hacer". hazlo con él ni con H1", dijo el actor de amenazas.
El pirata informático nos dijo que podría proporcionar direcciones de correo electrónico y números de teléfono a la vulnerabilidad para determinar si está asociada con una cuenta de Twitter y recuperar la identificación de esa cuenta.
Armados con esta ID de Twitter, probablemente recopilaron el resto de los datos públicos para crear un perfil de usuario para el usuario.
Esta vulnerabilidad es similar a cómo los actores de amenazas "rasparon" (scraping) los datos de la cuenta de Facebook de 533 millones de usuarios en 2021.
Datos filtrados verificados
Twitter no ha confirmado la violación de datos en este momento, y le dijo que están investigando la autenticidad de las afirmaciones.
"Recibimos un informe de este incidente hace varios meses a través de nuestro programa de recompensas por errores, investigamos a fondo de inmediato y solucionamos la vulnerabilidad. Como siempre, estamos comprometidos a proteger la privacidad y la seguridad de las personas que usan Twitter. Estamos agradecidos con la comunidad de seguridad que participa en nuestro programa de recompensas por errores para ayudarnos a identificar posibles vulnerabilidades como esta.
Estamos revisando los datos más recientes para verificar la autenticidad de los reclamos y garantizar la seguridad de las cuentas en cuestión".
Sin embargo, se verificó con algunos de los usuarios de Twitter enumerados en una pequeña muestra de datos compartidos por el pirata informático que la información privada (direcciones de correo electrónico y números de teléfono) es precisa.
Dado que solo se pudo verificar una pequeña cantidad de usuarios enumerados en los datos extraídos, es imposible decir si las 5,4 millones de cuentas vendidas son válidas.
Aunque la mayoría de los datos que se venden están disponibles públicamente, los actores de amenazas pueden usar las direcciones de correo electrónico y los números de teléfono en ataques de phishing dirigidos.
Por lo tanto, todos los usuarios de Twitter deben estar atentos al recibir correos electrónicos de Twitter, especialmente si le piden que ingrese las credenciales de inicio de sesión, lo que los usuarios solo deben hacer en Twitter.com.
Fuente:
BleepingComputer
https://www.bleepingcomputer.com/news/security/hacker-selling-twitter-account-data-of-54-million-users-for-30k/
(https://i.postimg.cc/NfSnvgFX/Funny-Cat-13.jpg) (https://postimages.org/)