Como veremos más adelante, el error que ha provocado la filtración de esta información se produjo hace ya algunos meses, pero no ha sido hasta hace unos días cuando ha salido a la luz la persona que se ha hecho con la información de millones de cuentas de la red social.
Más de 5 millones de cuentas filtradas
Este error al que hacemos referencia se descubrió allá por el mes de enero de este mismo año. El error en cuestión permitía explotar una vulnerabilidad hacía posible que el atacante adquiera el número de teléfono y la dirección de correo electrónico de las cuentas de Twitter, incluso si el usuario había ocultado dicha información en la configuración de privacidad a la hora de gestionar su cuenta en la red social. Este error fue específico del cliente de Twitter en Android.
El error fue descubierto por el usuario «zhirinovskiy» de HackerOne, que envío un informe a Twitter el mismo 1 de enero donde explicaba las consecuencias que podía tener este error para los usuarios de Twitter. Cinco días después de enviar este informe, el personal responsable de la red social reconoció que era un problema de seguridad importante y real, y prometió investigar mucho más a fondo para poder darle solución. Después de investigar y tratar de solucionar este problema, Twitter le dio una recompensa a este usuario de más de 5000 dólares.
Esta vulnerabilidad permite a cualquier parte sin ningún tipo de autenticación obtener una ID de Twitter (que es casi igual que obtener el nombre de usuario de una cuenta) de cualquier usuario. Como hemos dicho un poco más arriba, este error se reportó en el pasado mes de enero y no tardó demasiado tiempo en ser solucionado por el personal de esta red social. Sin embargo, las consecuencias de este ataque no han aparecido hasta hace muy pocos días.
Según ha reportado el mismo usuario de HackerOne, una persona está vendiendo actualmente los datos supuestamente obtenidos a través de esta vulnerabilidad. Este usuario estaría haciéndolo a través de Breach Forums, un famoso foro de piratería que ya se ganó la atención internacional a principios de este mes al exponer información sobre más de 1000 millones de residentes chinos, una auténtica barbaridad.
Este usuario, que se hace llamar «devil» en el foro, asegura que posee información de 5.4 millones de cuentas de Twitter, y según afirma este usuario posee información incluso de grandes empresas y celebridades. Unas horas después de que se hiciera oficial esta filtración, el propietario de estos foros piratas verificó la autenticidad de esta filtración, y explicó que efectivamente se extrajo toda esta información a través de la brecha de seguridad que se dio a conocer en el pasado mes de enero. Esta base de datos está actualmente en venta, y según apunta Restore Privacy se estaría vendiendo por unos 30 000 dólares americanos.
Fuente: Restore Privacy | adslzone
