Private Twitter-Daten von 5 Millionen Nutzern wurden letzten Donnerstag in einem Hacker-Forum erneut geteilt, nachdem sie erstmals im Juli durchgesickert waren.
Während das Leck im Juli einen Preis von 30.000 US-Dollar hatte, wurde der Dump vom Donnerstag kostenlos zur Verfügung gestellt.
Private Informationen des Benutzers aufgedeckt
Pompompurin, der Besitzer des Hacker-Forums HackerOne, Bestätigt gegenüber BleepingComputer über das Wochenende, dass seine Seite für den anfänglichen Daten-Dump verantwortlich war.
Bereits im Dezember wurde im Rahmen des Bug-Bounty-Programms des Forums ein Twitter-API-Fehler entdeckt, mit dem Benutzer bestimmte Twitter-IDs abrufen konnten, indem sie eine zugehörige Telefonnummer oder E-Mail-Adresse einreichten. Dies ermöglichte es Angreifern, Benutzerdatensätze für Millionen von Konten zu erstellen, die sowohl öffentliche als auch private Informationen verwenden.
Bis Juli wurden genügend Daten gesammelt, damit ein Bedrohungsakteur beginnen konnte Verkauf die privaten Informationen von 5,4 Millionen Benutzern für 30.000 US-Dollar in einem Online-Forum. Zu diesen Daten gehörten Telefonnummern und E-Mail-Adressen sowie öffentliche Informationen wie Namen, Twitter-IDs, Standorte, Anmeldenamen und verifizierter Status.
Darüber hinaus kam es zu einem zweiten Datenleck, von dem 1,4 Millionen gesperrte Benutzer betroffen waren, wodurch sich die Gesamtzahl der betroffenen Profile auf fast 7 Millionen erhöhte.
Der Datenstapel, der 5,4 Millionen Benutzer betrifft, wurde am 24. November in einem Hacking-Forum frei geteilt. Laut Pompompurin handelt es sich tatsächlich um dieselben Daten, die im Juli und August für Tausende von Dollar zum Verkauf angeboten wurden.
„Diese Aufzeichnungen enthalten entweder eine private E-Mail-Adresse oder Telefonnummer und öffentlich gekratzte Daten, einschließlich der Twitter-ID des Kontos, des Namens, des Bildschirmnamens, des verifizierten Status, des Standorts, der URL, der Beschreibung, der Anzahl der Follower, des Erstellungsdatums des Kontos, der Anzahl der Freunde und der Favoriten , Statuszähler und Profilbild-URLs“, schrieb BleepingComputer.
Ein weiterer größerer Verstoß?
Während der API-Fehler, der zum Auffinden der Daten verwendet wurde, bis Januar 2022 behoben worden war, wurde derselbe Exploit Berichten zufolge verwendet, um eine noch größere Datenpanne zu erlassen.
Sicherheitsexperte Chad Loder behauptet so viel über Twitter am vergangenen Mittwoch, als er sagte, er habe „Beweise“ für einen Verstoß erhalten, von dem Millionen amerikanischer und europäischer Benutzer betroffen seien. „Der Datensatz umfasst verifizierte Konten, Prominente, prominente Politiker und Regierungsbehörden“, fügte er hinzu.
Das Konto von Chad Loder wurde kurz nach der Veröffentlichung seiner Behauptungen gesperrt.
Mehrere Kryptofirmen einschließlich Celsius und OpenSea wurden im Juli von einer E-Mail-Datenpanne heimgesucht, die auf einen verärgerten Mitarbeiter von Customer.io zurückzuführen war, der die Kundenkommunikation für beide Unternehmen abwickelte.
<script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>
