O Twitter foi alvo de uma enorme violação de dados que resultou no roubo de informações de mais de 400 milhões de usuários da plataforma.
Um hacker afirma ter roubado os dados de 400 milhões de usuários do Twitter explorando uma vulnerabilidade de API da plataforma e os coloca à venda na Dark Web.
De acordo com um relatório da Hudson Rock, empresa israelense de inteligência cibernética que investiga o caso, os dados roubados incluem informações privadas de celebridades, políticos, empresas e muito mais.
Alguns dos dados pessoais obtidos pelo hacker inclui usuários de alto perfil do Twitter incluindo:
- Sundar Pichai - CEO do Google;
- Organização Mundial da Saúde (OMS);
- Administração Nacional de Aeronáutica e Espaço (NASA);
- Ministério da Informação e Radiodifusão da União;
- Salman Khan - ator de Hollywood;
- entre outros.
O vazamento de dados inclui informações pessoais como endereços de e-mail, nomes, nomes de usuários, número de seguidores, data de criação e, em alguns casos, até números de telefone.
Segundo o hacker que atende pelo apelido de "Ryushi", os dados foram coletados por meio da exploração de uma vulnerabilidade do Twitter.
"Estou vendendo dados de +400 milhões de usuários únicos do Twitter que foram extraídos por meio de uma vulnerabilidade, esses dados são 100% confidenciais", disse o hacker.
Para provar que os dados são verdadeiros, o hacker postou uma amostra com dados de 1.000 contas do Twitter no fórum Breached, o maior site usado por agentes de ameaça online para vender informações roubados em violações de dados.
Segundo a Hudson Rock, as amostras vazadas parecem legítimas. A empresa de segurança Web3 DeFiYield também confirmou que os dados de amostra publicados para venda eram "reais".
No entanto, ambas as empresas não conseguiram verificar totalmente as alegações do hacker devido ao grande número de contas vazadas.
O relatório da Hudson Rock alega que o hacker tentou entrar em um acordo com o CEO do Twitter, Elon Musk, para que ele comprasse os dados e evitar uma multa enorme sob a lei de privacidade GDPR da Europa.
"Se você trabalha para o Twitter ou é Elon Musk e está lendo isso, já corre o risco de ser multado pelo GDPR pelo vazamento de dados de mais de 54 milhões de usuários. A violação de dados de US$ 400 milhões já resultou em sanções", afirmou o hacker.
"Se você quiser evitar ter que pagar US$ 2,76 milhões em acusações de violação de CDPR, como o Facebook fez (533 milhões de usuários foram roubados), então comprar apenas esses dados é sua melhor aposta", acrescentou.
De acordo com o relatório, o hacker parece estar disposto a negociar com qualquer intermediário do Twitter e, se chegarem a um acordo, excluir o tópico e não vender os dados novamente.
O agente de ameaça ainda fez questão de enfatizar as possíveis consequências se o Twitter não cooperasse, pois esses dados poderia expor celebridades e políticos levando-os a buscar alternativas.
De acordo com o BleepingComputer, antes colocar os dados à venda, o hacker pediu US $ 200 mil ao Twitter para excluí-los e evitar colocá-los à venda em fóruns clandestinos por US $ 60 mil.
No entanto, o acordo enviado exclusivamente ao Twitter não foi concretizado e os dados de mais de 400 milhões de contas do Twitter estão à venda na Internet.
Como os dados foram roubado?
O relatório da Hudson Rock afirma que os dados roubados do Twitter foram obtidos no início de 2022 devido a uma vulnerabilidade de API na plataforma, que já foi corrigida.
A mesma vulnerabilidade foi explorada em agosto de 2022 por outro agente de ameaça e resultou no vazamento de informações de mais de 5,4 milhões de usuários do Twitter.
"É cada vez mais provável que os dados sejam válidos e provavelmente foram obtidos de uma vulnerabilidade de API que permite que o agente da ameaça consulte qualquer e-mail/telefone e recupere um perfil do Twitter. e resultou em uma multa de $ 275.000.000 para a Meta", disse Alon Gal, co-fundador e CTO da Hudson Rock.
"Isso é facilmente refutado comparando as amostras no novo vazamento com a versão mais antiga de 5,4m que já havia vazado publicamente", explicou Gal
"250 de 1.000 são encontrados. (a contagem teria sido menor se fosse uma amostra de contas não verificadas) Não posso compartilhar algumas informações confidenciais que tenho, mas com o passar do tempo, estou mais confiante de que é um vazamento de 400.000.000 usuários e, como sempre, infelizmente, vazará para as mãos de todos os hackers de graça", concluiu Gal.
Via: Bleepingcomputer
