0
0
Uma violação de dados do Twitter permitiu que um invasor tivesse acesso aos detalhes de contato de 5,4 milhões de contas. O Twitter confirmou a vulnerabilidade de segurança que permitiu que os dados fossem extraídos.
Os dados – que ligam os usuários do Twitter a números de telefone e endereços de e-mail – foram colocados à venda em um fórum de hackers por US$ 30.000…
O Restore Privacy relata que a violação foi possibilitada por uma vulnerabilidade descoberta em janeiro.
Uma vulnerabilidade verificada no Twitter de janeiro foi explorada por um agente de ameaças para obter dados de contas supostamente de 5,4 milhões de usuários. Embora o Twitter tenha corrigido a vulnerabilidade desde então, o banco de dados supostamente adquirido dessa exploração agora está sendo vendido em um popular fórum de hackers, publicado hoje cedo.
Em janeiro, foi feito um relatório no HackerOne de uma vulnerabilidade que permite que um invasor adquira o número de telefone e/ou endereço de e-mail associado às contas do Twitter, mesmo que o usuário tenha ocultado esses campos nas configurações de privacidade […]
Um agente de ameaças agora está vendendo os dados supostamente adquiridos dessa vulnerabilidade. Hoje cedo, notamos um novo usuário vendendo o banco de dados do Twitter no Breached Forums, o famoso fórum de hackers que ganhou atenção internacional no início deste mês com uma violação de dados expondo mais de 1 bilhão de residentes chineses.
A postagem ainda está ativa agora com o banco de dados do Twitter supostamente composto por 5,4 milhões de usuários à venda. O vendedor no fórum de hackers usa o nome de usuário “devil” e afirma que o conjunto de dados inclui “Celebridades, empresas, aleatórios, OGs, etc”.
O proprietário do fórum de hackers verificou a autenticidade do ataque, e o Restore Privacy também diz que duas amostras do banco de dados são verificadas.
Baixamos o banco de dados de amostra para verificação e análise. Inclui pessoas de todo o mundo, com informações de perfil público, bem como o e-mail ou número de telefone do usuário do Twitter usado com a conta.
Todas as amostras que analisamos correspondem a pessoas do mundo real que podem ser facilmente verificadas com perfis públicos no Twitter.
O site de privacidade entrou em contato com o vendedor e foi informado que o preço do banco de dados era de US$ 30.000.
O HackerOne cobriu a vulnerabilidade em janeiro, o que permitiu que qualquer pessoa digitasse um número de telefone ou endereço de e-mail e, em seguida, encontrasse o twitterID associado. Este é um identificador interno usado pelo Twitter, mas pode ser facilmente convertido em um identificador do Twitter.
Esta é uma ameaça séria, pois as pessoas podem não apenas encontrar usuários que restringiram a capacidade de serem encontrados por e-mail/número de telefone, mas qualquer invasor com conhecimento básico de script/codificação pode enumerar uma grande parte da base de usuários do Twitter indisponível para enumeração anterior (criar um banco de dados com telefone/e-mail para conexões de nome de usuário). Essas bases podem ser vendidas a partes mal-intencionadas para fins publicitários ou para identificar celebridades em diferentes atividades maliciosas.
Também um recurso legal que descobri é que você pode até encontrar os id’s de contas suspensas do Twitter usando esse método.
É provável que o invasor tenha obtido bancos de dados existentes de números de telefone e endereços de e-mail obtidos em violações de outros serviços e, em seguida, tenha usado esses detalhes para pesquisar os IDs correspondentes do Twitter.
Ainda não há como verificar se sua conta está incluída na violação de dados do Twitter. Como sempre, vale a pena estar atento a ataques de phishing – e-mails que afirmam ser da Apple, seu banco, PayPal, provedor de e-mail e assim por diante, e que solicitam que você faça login em sua conta.
As táticas comuns de phishing são uma mensagem informando que sua conta corre o risco de exclusão ou o envio de um recibo falso para uma compra de alto valor, juntamente com um link para contestar a cobrança.
A principal salvaguarda aqui é nunca clicar em links enviados em e-mails. Sempre use seus próprios favoritos ou digite um URL conhecido.
FONTE: 9 TO 5 MAC