Twitter confirma vulnerabilidad zero-day (día cero) usada para exponer datos de 5.4 millones de cuentas

Twitter confirmó una reciente violación de datos que ha sido causada por una vulnerabilidad zero-day (día cero), usada para vincular direcciones de correos electrónicos y números de teléfonos de las cuentas de los usuarios, permitiendo que la amenaza -atacante- compile una lista de 5.4 millones de cuentas de perfiles.

Lea también: Twitter sufrió un ciberataque donde se filtraron los datos de 5,4 millones de sus usuarios

Esta vulnerabilidad permitió que cualquier persona enviara un correo electrónico y o número de teléfono, verificando si estaba asociada con una cuenta de Twitter y así recibir el ID de la cuenta. El atacante luego usaba este ID para acceder con mayor profundidad a la información pública de la cuenta.

¿Qué ocurrió y por qué Twitter confirmó la vulnerabilidad zero-day?

Esto permitió al actor de amenazas crear perfiles de 5,4 millones de usuarios de Twitter en diciembre de 2021, incluido un número de teléfono verificado o una dirección de correo electrónico, y extrajo información pública, como recuentos de seguidores, nombre de pantalla, nombre de inicio de sesión, ubicación, URL de imagen de perfil y otros. información.

A continuación se puede ver un ejemplo redactado de uno de estos perfiles de Twitter creados.

En ese momento, el actor de amenazas estaba vendiendo los datos por $ 30,000 y le había dicho a BleepingComputer que había compradores interesados.

BleepingComputer luego se enteró de que dos actores de amenazas diferentes compraron los datos por menos del precio de venta original y que los datos probablemente se liberarían de forma gratuita en el futuro.

Twitter confirma vulnerabilidad zero-day para recopilar datos y exponer cuentas

Hoy, Twitter ha confirmado que la vulnerabilidad utilizada por el actor de amenazas en diciembre es la misma que informaron y corrigieron en enero de 2022 como parte de su programa de recompensas por errores HackerOne. 

«En enero de 2022, recibimos un informe a través de nuestro programa de recompensas por errores de una vulnerabilidad que permitía a alguien identificar el correo electrónico o el número de teléfono asociado con una cuenta o, si conocían el correo electrónico o el número de teléfono de una persona, podían identificar su cuenta de Twitter, si existiera», reveló Twitter hoy en un aviso de seguridad .

«Este error fue el resultado de una actualización de nuestro código en junio de 2021. Cuando nos enteramos de esto, lo investigamos de inmediato y lo solucionamos. En ese momento, no teníamos evidencia que sugiriera que alguien se había aprovechado de la vulnerabilidad».

Como parte de la divulgación de hoy, Twitter le dijo a BleepingComputer que ya comenzaron a enviar notificaciones esta mañana para alertar a los usuarios afectados sobre si la violación de datos expuso su número de teléfono o dirección de correo electrónico.

En este momento, Twitter nos dice que no pueden determinar la cantidad exacta de personas afectadas por la infracción. Sin embargo, el actor de amenazas afirma haber utilizado la falla para recopilar los datos de 5.485.636 usuarios de Twitter.

Las recomendaciones de Twitter para evitar vulneraciones a la seguridad

Si bien no se expusieron contraseñas en esta violación, Twitter alienta a los usuarios a habilitar la autenticación de dos factores en sus cuentas para evitar inicios de sesión no autorizados como medida de seguridad.

Para aquellos que usan una cuenta de Twitter seudónima, la compañía de redes sociales sugiere que mantengan su identidad lo más anónima posible al no usar un número de teléfono o dirección de correo electrónico conocidos públicamente en su cuenta de Twitter.

“Estamos publicando esta actualización porque no podemos confirmar todas las cuentas que se vieron potencialmente afectadas, y somos particularmente conscientes de las personas con cuentas seudónimas que pueden ser atacadas por el estado u otros actores”, advirtió el aviso de Twitter.

Además, dado que dos actores de amenazas diferentes ya compraron estos datos, los usuarios deben estar atentos a las campañas de phishing dirigidas que utilizan estos datos para robar sus credenciales de inicio de sesión de Twitter.

–

FUENTE: Abrams, Lorenzo. »Twitter confirma el uso del día cero para exponer datos de 5,4 millones de cuentas.» Bleepingcomputer-com.cdn.ampproject.org. 05/08/22. (https://www-bleepingcomputer com.cdn.ampproject.org/c/s/www.bleepingcomputer.com/news/security/twitter-confirms-zero-day-used-to-expose-data-of-54-million-accounts/amp/).