Twitter聲稱今年早些時(shí)候修復(fù)的一個(gè)舊漏洞繼續(xù)困擾著這家社交媒體公司，它似乎比我們最初懷疑的要嚴(yán)重得多。
嗶嗶電腦(在新選項(xiàng)卡中打開)據(jù)報(bào)道，由于 API 漏洞而被盜的大約 540 萬 Twitter 用戶的個(gè)人信息已在黑客論壇上免費(fèi)共享。這似乎是黑客據(jù)稱在八月份以30，000美元的價(jià)格出售的數(shù)據(jù)轉(zhuǎn)儲(chǔ)。
回顧一下，Twitter在八月份確認(rèn)了一個(gè)API漏洞的存在，該漏洞將使黑客能夠識(shí)別電子郵件地址或電話號(hào)碼與哪個(gè)帳戶相關(guān)聯(lián)，從而可能暴露假名帳戶的真實(shí)身份。然而，該公司當(dāng)時(shí)表示，它沒有發(fā)現(xiàn)任何證據(jù)表明這個(gè)漏洞曾經(jīng)被利用過。
新的BleepingComputer報(bào)告指出，不僅在黑客論壇上免費(fèi)提供數(shù)據(jù)轉(zhuǎn)儲(chǔ)，而且其他被盜數(shù)據(jù)集也來自同一漏洞。擁有名為Breach的黑客論壇的Pompompurin告訴BleepingComputer，他們?cè)诶迷撀┒春髣?chuàng)建了數(shù)據(jù)轉(zhuǎn)儲(chǔ)。他們還承認(rèn)，該漏洞最初是從另一個(gè)被稱為“惡魔”的黑客那里獲得的。
除了 540 萬條用戶記錄外，Pompompurin 還聲稱負(fù)責(zé)獲取 140 萬份被暫停帳戶的 Twitter 個(gè)人資料。黑客聲稱此數(shù)據(jù)轉(zhuǎn)儲(chǔ)是使用另一個(gè)API獲得的，盡管它僅與少數(shù)人私下共享。
但是，其他人可能利用了 API 漏洞。安全專家查德·洛德(Chad Loder)透露，數(shù)千萬Twitter用戶數(shù)據(jù)可能是使用相同的API獲得的。此數(shù)據(jù)轉(zhuǎn)儲(chǔ)顯然包括個(gè)人電話號(hào)碼以及帳戶名稱和Twitter ID等公共信息。
Loder在Mastodon上分享了上述數(shù)據(jù)集的編輯樣本，因?yàn)樗诎l(fā)布相同信息后不久就在Twitter上被禁止。據(jù)說受影響的Twitter帳戶位于歐盟和美國，并且該漏洞顯然“不早于2021年發(fā)生”。BleepingComputer了解到數(shù)據(jù)轉(zhuǎn)儲(chǔ)包含超過1700萬條記錄，盡管它無法證實(shí)這一點(diǎn)。
根據(jù)BleepingComputer的說法，它能夠驗(yàn)證泄露電話號(hào)碼的真實(shí)性，并發(fā)現(xiàn)這些是與以前的數(shù)據(jù)寶庫分開的記錄。這意味著數(shù)據(jù)泄露比以前想象的要大。