Ende 2021 soll es aufgrund eines API-Bugs zu einem weitreichenden Datenleck bei Twitter gekommen sein. Die dabei gestohlenen Daten stehen nun in Hacker-Foren kostenlos zur Verfügung, wie unter anderem "Bleepingcomputer"
berichtet. Es handelt sich dabei um nicht öffentliche Daten von über 5,4 Millionen Twitter-Nutzern. Laut Sicherheitsforschern sollen in verdeckten Kreisen jedoch noch weit mehr Nutzerdaten kursieren.
Im Dezember 2021 klaffte bei Twitter ein Datenleck. Aufgrund eines API-Bugs war es möglich, Telefonnummern und E-Mail-Adressen in die beschädigte Twitter-API einzugeben, um dann die zugehörige Twitter-ID ausfindig zu machen. Damit konnten öffentlich zugängliche Daten mit privaten Daten zu einem Nutzerprofil verknüpft werden. Diese Sicherheitslücke wurde zwar bereits im Januar geschlossen, doch wie sich später herausstellte, war dies zu spät. Denn im Juli 2022 waren die Daten von über 5,4 Millionen Nutzern in einem Hacker-Forum zum Preis von 30'000 US-Dollar gelistet. Seit dem 24. November 2022 sind die besagten Daten sogar kostenlos verfügbar, wie der für diese Aktion verantwortliche Pompompurin gegenüber "Bleepingcomputer" gestand.
Die gestohlenen und nun kostenlos verfügbaren Daten der über 5,4 Millionen Twitter-Nutzer sind aber nicht einmal das grösste Problem für
Twitter. Denn gemäss des Sicherheitsexperten Chad Loder kursiert in eingeweihten Kreisen ein Data Sample mit privaten und öffentlichen Informationen von zirka 17 Millionen Twitter-Nutzern. "Das massive Datenleck bei Twitter ist real", schreibt der Sicherheitsexperte auf Mastodon – bei Twitter wurden seine Beiträge dazu gelöscht.
Die Daten scheinen tatsächlich echt zu sein. "Bleepingcomputer" erhielt ein Sample des Datenlecks und nahm den Inhalt unter die Lupe. Die Analyse ergab, dass es sich um echte Nutzerdaten mit validen Telefonnummern handelt. Die Daten stammen von Nutzern aus der ganzen Welt und sind gar nach Ländern und Regionen gefiltert, sprich mehr oder wengier professionell aufbereitet. Weiter ergaben die Untersuchungen, dass es sich um neue Nutzerdaten handelt, die nicht bereits in der im Juli 2022 veröffentlichten Sammlung enthalten waren. Dies bestätigt auch der für das Juli-Datenleck verantwortliche Pompompurin. Er und seine Kollegen hätten nichts damit am Hut.
Der Zugang zu den gestohlenen Daten ist zwar noch nicht öffentlich, doch Cyberkriminelle dürften bereits an die Daten gelangt sein. Mit diesen können sie zum Beispiel Phishing-Angriffe starten. Daher ist es wichtig, jede E-Mail, die von
Twitter stammt, genau zu prüfen.
(rf)
