Twitter bugün, özel telefon numaraları ve e -posta adresleri de dahil olmak üzere milyonlarca üyenin profilinin son sızıntısının, şirketin Ağustos 2022'de açıklanan aynı veri ihlalinden kaynaklandığını doğruladı.
Twitter, olay müdahale ekibinin Kasım 2022'de sızan kullanıcı verilerini analiz ettiğini ve Ocak 2022'de düzeltilmeden önce aynı güvenlik açığı kullanılarak toplandığını doğruladığını söyledi.
"Kasım 2022'de, bazı basın raporları Twitter kullanıcılarının verilerinin çevrimiçi sızdırıldığı iddia edildiğini yayınladı."
Diyerek şöyle devam etti: "Haberlerden haberdar olur olmaz, Twitter'ın olay müdahale ekibi yeni rapordaki verileri 21 Temmuz 2022'de medya tarafından bildirilen verilerle karşılaştırdı. Karşılaştırma, maruz kalan verilerin her iki durumda da aynı olduğunu belirledi." -Twitter.
Ocak 2022'de Twitter, hata ödül programı aracılığıyla bir API güvenlik açığının bir saldırganın e -posta adreslerini veya telefon numaralarını beslemesine ve kayıtlı bir hesap için ilişkili bir Twitter kimliği almasına izin verdiği bir rapor aldı.
Üyelerin telefon numaraları ve e -posta adresleri herkese açık olması gerekmediğinden, bu, anonim olarak yayınlamak isteyen Twitter kullanıcıları için önemli bir gizlilik riski oluşturabilir.
Twitter sorunu çözdüğünde, bir tehdit oyuncusu, kamuya açık ve halka açık olmayan verilerden oluşan 5.4 milyon kullanıcı profili oluşturmak için milyonlarca e-posta adresine ve telefon numaralarını girmeye API güvenlik açığından yararlanmıştı.
Bu kazınmış veriler daha sonra Temmuz 2022'de 30.000 $ karşılığında bir hacker forumunda satışa sunuldu ve iki kişinin orijinal fiyat altında satın aldığı iddia edildi.
Eylül 2022 ve Kasım 2022'de, bir tehdit oyuncusu, 2021'de kazınan 5.4 milyon kayıt setini içeren bir JSON dosyası yayınladı ve o zamana kadar az sayıda tehdit aktörü arasında özel olarak dolaştı.
Aynı zamanda, bir araştırmacı, orijinal 5.4 milyon kullanıcı ihlaline dahil olmayan güvenlik açığı kullanılarak kazınan ek bir Twitter profilinin örneklerini de paylaştı.
Bu veri setinin, aynı API kusuru kullanılarak toplanan 17 milyon kayıt içeren çok daha kapsamlı olduğu iddia ediliyor.
BleepingComputer bu ek veri kümesinin kapsamını doğrulayamamış olsa da, önceden açıklanmayan 1.4 milyon Fransız Twitter hesap kayıtları içeren bir veri kümesinin bir örneğini inceleyebildik.
BleepingComputer, bu örneği listelenen Twitter kullanıcılarıyla iletişim kurmak ve sızdırılan telefon numarasının kendilerine ait olduğunu onaylamak için kullandı, bu ek veri kümesinin geçerli olduğunu doğruladı.
Ne yazık ki, Twitter'ın son güncellemesi geçen ay sızan verilerin daha önce açıklanan güvenlik açığına bağlı olduğunu gösterse de, şirket açıkta kalan kullanıcıların sayısını doğrulamadı.
Twitter, kullanıcıların hesaplarını korumak için iki faktörlü kimlik doğrulamasını etkinleştirmesini, Authenticator uygulamalarını veya donanım anahtarlarını kullanmasını ve Twitter hesaplarıyla ilgili gelen e-postalarla ekstra uyanık olmalarını önerir.
Twitter, "Twitter aktörleri çok etkili kimlik avı kampanyaları oluşturmak için sızdırılan bilgilerden yararlanabileceğinden, Twitter kullanıcılarını e -posta üzerinden herhangi bir iletişim alırken ekstra uyanık kalmaya teşvik ediyoruz."
Diyerek şöyle devam etti: "Özel bilgilerinizi isteyen bir aciliyet ve e -postalar duygusu taşıyan e -postalara karşı dikkatli olun, e -postaların meşru bir Twitter kaynağından geldiğini her zaman iki kez kontrol edin."
Güncelleme 12/12/22 - İhlalin 2021'de olduğunu ve Ağustos ayında onaylandığını yansıtacak şekilde başlığı değiştirdi.
5,4 milyon Twitter kullanıcısı çalınan verileri çevrimiçi sızdırıldı - daha fazla paylaşılan özel olarak
Twitter, 5.4 milyon hesaptan verilen verileri ortaya çıkarmak için kullanılan sıfır gününü onaylar
CommonSpirit Sağlık Fidye Yazılımı Saldırısı 623.000 hastanın maruz kalan verileri
Avustralya artık veri ihlalleri için 50 milyon $ 'a kadar iyi firmalar olacak
Medibank artık bilgisayar korsanlarının tüm müşterilerinin kişisel verilerine eriştiğini söylüyor
Kaynak: Bleeping Computer