Nomes de utilizadores e endereços de e-mail pertencentes a mais de 200 milhões de utilizadores do Twitter foram publicados online por hackers. De acordo com relatórios de pesquisadores de segurança e meios de comunicação, as credenciais foram compiladas de várias violações anteriores do Twitter que datam de 2021.
Embora o banco de dados não inclua as passwords dos utilizadores, ele representa uma ameaça à segurança dos afetados.
“Este é um dos ataques mais significativos que já vi”, disse Alon Gal, cofundador da empresa israelense de segurança cibernética Hudson Rock, num post que descreveu no LinkedIn . “[Isso] infelizmente levará a muitos hackers, phishing direcionado e doxxing.”
As estimativas do número exato de utilizadores afetados pela violação variam, em parte devido à tendência de tais despejos de dados em grande escala incluírem registos duplicados. Capturas de ecrã do banco de dados partilhado pelo BleepingComputer mostram que ele contém vários arquivos de texto que mostram endereços de e-mail e nomes de utilizadores do Twitter vinculados, bem como nomes reais dos utilizadores, contagens de seguidores e datas de criação da conta. A BleepingComputer disse que “confirmou a validade de muitos dos endereços de e-mail listados na lista” e que o banco de dados estava a ser vendida num fórum de hackers por apenas US$ 2.
Troy Hunt, criador do site de alerta de segurança cibernética Have I Been Pwned, analisou também a violação e partilhou as suas conclusões no Twitter: “Encontrei 211.524.284 endereços de e-mail exclusivos, parece ser exatamente o que foi descrito”. A violação foi adicionada aos sistemas do Have I been Pwned, o que significa que qualquer pessoa pode visitar o site e inserir o seu endereço de e-mail para ver se ele foi incluído no banco de dados.
Ok folks, I know this Twitter data is in broad circulation now and I’ve had many people send it to me in the last 24 hours, I’ll take a good look at it today and work out how to handle it https://t.co/02LH4jrEQ1
— Troy Hunt (@troyhunt) January 4, 2023
A origem do banco de dados parece remontar a 2021, relata o The Washington Post, quando os hackers descobriram uma vulnerabilidade nos sistemas de segurança do Twitter. A falha permitiu que agentes mal-intencionados automatizassem as pesquisas de contas inserindo endereços de e-mail e números de telefone em massa para ver se eles estavam associados a contas do Twitter.
O Twitter divulgou essa vulnerabilidade em agosto de 2022, afirmando que corrigiu o problema em janeiro daquele ano. A empresa alegou nessa altura que “não tinha evidências que sugerissem que alguém se tivesse aproveitado da vulnerabilidade”, mas especialistas em segurança cibernética já tinham localizado bancos de dados de credenciais do Twitter à venda em julho daquele ano. Este banco de dados mais recente de mais de 200 milhões de contas parece ter as suas origens nesta vulnerabilidade que durou bastante tempo, que passou despercebida pelo Twitter por cerca de sete meses.
A violação é apenas o mais recente desastre de segurança cibernética a afetar o Twitter, que há muito luta para proteger os dados de seus utilizadores. A empresa já está a ser investigada pela UE pela violação (com base nos primeiros relatórios em julho de 2022) e está a ser investigada pela FTC por falhas de segurança semelhantes.
Fonte: Bleepingcomputer
