Recentemente Twitter ha dovuto affrontare alcuni problemi di instabilità, ma una notizia preoccupante è stata riportata da Restore Privacy. Secondo la società di sicurezza, i dati di 5,4 milioni di utenti sono stati esposti da una falla di sicurezza del social network, segnalata da HackerOne nel gennaio 2022.
L’allarme indica che le informazioni sugli account compromessi sono in vendita sui forum di hacker: “Una vulnerabilità di Twitter verificata a gennaio è stata sfruttata da un hacker per ottenere i dati degli account di circa 5,4 milioni di utenti. Sebbene Twitter abbia risolto la vulnerabilità, il database presumibilmente acquisito da questo exploit viene venduto su un popolare forum di hacker, pubblicato oggi”.
La falla nella sicurezza consente agli hacker di ottenere informazioni come numeri di telefono e indirizzi e-mail, che attualmente possono essere acquistati in blocco per $ 30.000 da Breached Forums, un hub in cui i criminali vendono informazioni rubate su Internet.
Il venditore dei dati personali è l’utente “devil”, che sostiene inoltre che tra i 5,4 milioni di utenti ci sono informazioni su account aziendali, celebrità e altro ancora, informazioni confermate da Restore Privacy e dal proprietario di Breached Forums.
Tutti i campioni esaminati corrispondono a persone reali che possono essere facilmente verificate con profili Twitter pubblici.
HackerOne ha inoltre mostrato come la vulnerabilità consenta a chiunque di vedere i dati personali di qualsiasi account Twitter, anche se il proprietario ha nascosto queste informazioni nelle impostazioni della privacy. Con questo metodo è persino possibile vedere gli ID degli account sospesi dal social network.
Si tratta di una minaccia seria, in quanto non solo è possibile trovare gli utenti che hanno limitato la possibilità di essere trovati tramite e-mail/numero di telefono, ma qualsiasi utente malintenzionato con una conoscenza di base di scripting/coding può enumerare un’ampia porzione della base di utenti di Twitter che è preziosa per l’enumerazione precedente (creando un database con telefono/email per le connessioni dei nomi utente).
Purtroppo non è ancora possibile verificare quali account siano stati colpiti, quindi l’ideale sarebbe controllare sempre le attività sospette sui propri account e non cliccare sui link ricevuti da mittenti sconosciuti, poiché potrebbero contenere malware e tentativi di phishing per rubare altri dati degli utenti.
