Ці дані включають як загальнодоступну інформацію, так і номери телефонів з email-адресами, які не повинні були потрапити у відкритий доступ. Саму вразливість, яка призвела до витоку, вже виправили. Вона дозволяла будь-кому, без будь-якої аутентифікації дізнатись унікальний Twitter ID (що майже рівнозначно отриманню імені користувача облікового запису) через номер телефону/адресу електронної пошти, навіть якщо користувач заборонив цю дію в налаштуваннях конфіденційності.

Як захистити свій смартфон від стеження та вірусів: 3 поради про кібербезпеку

Що відомо

Про витік було відомо ще торік, у серпні. Спочатку хакер пропонував архів з зібраними даними за 30 000 доларів (повідомляється про двох покупців, які, однак, заплатили менше цієї суми), але вже тоді експерти попереджали, що дані, швидше за все, згодом будуть публікуватися безплатно. Прогнози збулися.

  • Власник хакерського форуму Breached, відомий під ніком Pompompurin, повідомив журналістам, що це він несе відповідальність за експлуатацію бага та створення величезного дампа даних користувачів.
  • Крім того, він підтвердив, що це ті ж самі дані, що продавались у серпні й містять деталі профілів 5 485 635 користувачів Twitter.
  • З'ясувалося також, що крім цього архіву на продаж була виставлена ​​інформація про ще 1,4 мільйона заблокованих у Twitter користувачів, зібрана з використанням іншого API.
  • В результаті загальна кількість постраждалих облікових записів Twitter, що містять особисту інформацію, вже наближається до 7 мільйонів.
  • Pompompurin каже, що другий дамп не продавався відкрито, а лише був переданий кільком людям приватно.

Редакція видання Bleeping Computer вивчила зразок даних, який містив 1377132 телефонних номери користувачів з Франції. Журналісти підтвердили, що телефонні номери дійсні.

Все може бути ще гірше

Bleeping Computer попереджає, що за допомогою згаданої вразливості, схоже, було створено ще один, навіть більший дамп даних. Він може містити інформацію про десятки мільйонів профілів Twitter, включаючи номери телефонів (зібраних за допомогою тієї ж помилки API) і загальнодоступну інформацію: підтверджений статус, імена облікових записів, Twitter ID, біографію та ім'я, що відображається.

Pompompurin заявив, що не знає, хто створив цей новий дамп, що доводить — згадану вразливість в API використовували й інші зловмисники.