Twitter dice que ha corregido una vulnerabilidad de seguridad que permitía a los actores de amenazas recopilar información de 5,4 millones de cuentas de Twitter, que estaban a la venta en un conocido foro de ciberdelincuentes.
Twitter no esta pasando por su mejor memento, aun sigue en pelea con Elon Musk y también tiene que solucionar problemas de seguridad.
La vulnerabilidad permitía a cualquier persona introducir un número de teléfono o una dirección de correo electrónico de un usuario conocido y saber si estaba vinculado a una cuenta de Twitter existente, exponiendo potencialmente las identidades de las cuentas pseudónimas.
En un breve comunicado publicado el viernes, el gigante del microblogging dijo que «si alguien enviaba una dirección de correo electrónico o un número de teléfono a los sistemas de Twitter, éstos le dirían a la persona a qué cuenta de Twitter estaba asociada la dirección de correo electrónico o el número de teléfono enviados, si es que había alguna».
Twitter dijo que solucionó el fallo en enero – seis meses después de que el fallo se introdujera inicialmente en su código base – tras un informe de recompensa por fallos realizado por un investigador de seguridad, que recibió 6.000 dólares por revelar la vulnerabilidad.
Según el informe de recompensa por errores, la vulnerabilidad suponía una «grave amenaza» para los usuarios que tienen cuentas privadas o seudónimas, y podía utilizarse para «crear una base de datos» o enumerar «una gran parte de la base de usuarios de Twitter». Es similar a una vulnerabilidad descubierta a finales de 2019 que permitió a un investigador de seguridad relacionar 17 millones de números de teléfono con cuentas de Twitter.
Pero el aviso del investigador llegó demasiado tarde. Los hackers ya habían explotado la vulnerabilidad durante esa ventana de seis meses para crear una base de datos de direcciones de correo electrónico y números de teléfono de 5,4 millones de cuentas de Twitter.
Twitter dijo que se enteró de la explotación a partir de un informe de prensa no especificado en julio, que encontró un listado en un foro de cibercrimen que afirmaba tener datos de usuarios «desde celebridades hasta empresas», y OGs, refiriéndose a nombres de usuario personalizados o muy buscados en redes sociales y juegos.
«Después de revisar una muestra de los datos disponibles para la venta, confirmamos que un mal actor se había aprovechado del asunto antes de que se abordara», dijo Twitter. «Vamos a notificar directamente a los propietarios de cuentas que podemos confirmar que se vieron afectados por este problema».
Es el último incidente de seguridad que afecta a Twitter en los últimos años. En mayo, Twitter acordó pagar 150 millones de dólares en un acuerdo con la Comisión Federal de Comercio después de que la compañía utilizara indebidamente números de teléfono y direcciones de correo electrónico, que los usuarios enviaron para configurar la autenticación de dos factores, para la publicidad dirigida.
