Dados vazados do Twitter para 5 milhões de usuários foram compartilhados online gratuitamente

Dados privados do Twitter pertencentes a 5 milhões de usuários foram compartilhados novamente em um fórum de hackers na quinta-feira passada, depois de vazarem pela primeira vez em julho. 

Enquanto o vazamento de julho custou US$ 30,000, o despejo de quinta-feira foi fornecido gratuitamente. 

Informações privadas do usuário reveladas

Pompompurin, proprietário do fórum de hackers HackerOne, confirmado ao BleepingComputer no fim de semana que seu site foi responsável pelo despejo de dados inicial.

Em dezembro, um bug da API do Twitter foi descoberto como parte do programa de recompensas de bugs do fórum, que permite que as pessoas recuperem IDs específicos do Twitter enviando um número de telefone ou endereço de e-mail associado. Isso permitiu que os agentes de ameaças criassem registros de usuários em milhões de contas usando informações públicas e privadas. 

Dados suficientes foram coletados até julho para um agente de ameaça começar venda as informações privadas de 5.4 milhões de usuários por $ 30,000 em um fórum online. Esses dados incluíam números de telefone e endereços de e-mail, além de informações públicas como nomes, IDs do Twitter, locais, nomes de login e status verificado. 

Além disso, ocorreu uma segunda violação de dados afetando 1.4 milhão de usuários suspensos, elevando o total de perfis afetados para quase 7 milhões. 

O lote de dados afetando 5.4 milhões de usuários foi compartilhado livremente em um fórum de hackers em 24 de novembro. Segundo Pompompurin, trata-se de fato dos mesmos dados que estavam à venda por milhares de dólares em julho e agosto. 

“Esses registros contêm um endereço de e-mail privado ou número de telefone e dados públicos coletados, incluindo o ID da conta no Twitter, nome, nome de tela, status verificado, localização, URL, descrição, contagem de seguidores, data de criação da conta, contagem de amigos, contagem de favoritos , contagem de status e URLs de imagem de perfil”, escreveu BleepingComputer. 

Outra violação maior?

Embora o bug da API usado para descobrir os dados tenha sido corrigido em janeiro de 2022, o mesmo exploit foi usado para decretar uma violação de dados ainda maior. 

Chad Loder, especialista em segurança afirmou tanto no Twitter na última quarta-feira, dizendo que recebeu "evidências" de uma violação que afeta milhões de usuários americanos e europeus. “O conjunto de dados inclui contas verificadas, celebridades, políticos proeminentes e agências governamentais”, acrescentou.

A conta de Chad Loder foi suspensa logo após a publicação de suas reivindicações. 

Várias empresas de criptografia incluam A Celsius e a OpenSea foram atingidas por uma violação de dados de e-mail em julho devido a um funcionário insatisfeito da Customer.io, que cuidava das comunicações com os clientes de ambas as empresas.