Co musisz wiedzieć
- Twitter został dotknięty nową luką w zabezpieczeniach, która została naprawiona.
- Luka umożliwiła hakerom zidentyfikowanie konta, z którym powiązany jest adres e-mail lub numer telefonu.
- To potencjalnie ujawniło prawdziwą tożsamość kont pseudonimowych.
Błąd na Twitterze spowodował ujawnienie tożsamości milionów tajnych kont za pośrednictwem forum hakerów, potwierdziła usługa mikroblogowania, dodając, że od tego czasu naprawiła lukę.
Luka umożliwiła hakerom sprawdzenie, czy numer telefonu lub adres e-mail jest powiązany z istniejącym kontem, po prostu wprowadzając te informacje do procesu logowania.
„W wyniku luki, jeśli ktoś podał adres e-mail lub numer telefonu do systemów Twittera, systemy Twittera powiedziałby osobie, z jakim kontem na Twitterze przesłane adresy e-mail lub numer telefonu były powiązane, jeśli takie istnieją” – powiedział Twitter w post na blogu.
Luka w zabezpieczeniach wynikała z aktualizacji kodu Twittera wprowadzonej w czerwcu ubiegłego roku. Twitter naprawił problem po otrzymaniu raportu w styczniu zeszłego roku za pośrednictwem programu nagród za błędy. Firma dodała, że kiedy po raz pierwszy dowiedziała się o błędzie, nie znalazła „żadnych dowodów sugerujących, że ktoś wykorzystał lukę”.
Jednak raport o błędzie pojawił się zbyt późno, ponieważ niektórzy złoczyńcy już wykorzystali lukę. Według Piszczący komputer Według raportu haker sprzedał bazę danych zawierającą numery telefonów i adresy e-mail powiązane z 5,4 milionami kont za pośrednictwem forum hakerskiego za 30 000 USD.
„Po przejrzeniu próbki dostępnych danych do sprzedaży potwierdziliśmy, że zły aktor wykorzystał problem, zanim został rozwiązany” – potwierdził Twitter.
Firma nie powiedziała, ile kont zostało dotkniętych, ale powiedziała, że wyłom potencjalnie dotknął użytkowników z kontami pseudonimowymi. Baza danych na sprzedaż, według Bleeping Computer, zawiera informacje „o różnych kontach, w tym celebrytach, firmach i przypadkowych użytkownikach”.
Twitter powiadomi właścicieli kont, których dotyczy ta luka. W przypadku użytkowników z tajnymi kontami platforma zaleca „nie dodawanie publicznie znanego numeru telefonu ani adresu e-mail” do swoich kont na Twitterze, aby ukryć swoją tożsamość.
Na szczęście żadne hasło nie zostało naruszone w wyniku włamania. Niemniej jednak serwis zachęca do tego użytkowników włączyć uwierzytelnianie dwuskładnikowe za pomocą aplikacji uwierzytelniających lub sprzętowych kluczy bezpieczeństwa.