Twitter conferma una violazione dovuta ad una falla zero-day: 5,4 milioni gli account colpiti

Twitter ha confermato nei giorni scorsi di essere stata oggetto di una violazione di dati conseguente allo sfruttamento di una vulnerabilità zero-day che ha portato alla sottrazione di un volume di dati riferito a 5,4 milioni di profili di account utente.

La falla è stata ora risolta, ma ha potuto consentire a chiunque fosse a conoscenza della sua esistente di recuperare l’ID di un qualsiasi account Twitter con una semplice verifica dell’indirizzo e-mail o del numero di telefono. L’ID è stato quindi utilizzato per recuperare le informazioni pubbliche relative all’account.

A dicembre 2021 un attore di minaccia non meglio identificabile al momento ha sfruttato la vulnerabilità per compilare un elenco contenente le informazioni di 5,4 milioni di utenti di Twitter, comprendendo per ciascuno di essi un numero di telefono o un indirizzo email, assieme ad altre informazioni pubbliche come il numero di follower, il nome usato sul social network, la posizione, l’URL dell’immagine del profilo e via discorrendo. I dati sono allora stati messi in vendita per 30 mila dollari e successivamente acquistati da altri due attori di minacce.

La vulnerabilità è stata risolta da Twitter nel mese di gennaio 2022 nel contesto del loro programma di bug bounty. La società ha comunicato ufficialmente nei giorni scorsi: “A gennaio 2022 abbiamo ricevuto una segnalazione tramite il nostro programma di bug bounty di una vulnerabilità che consentiva a qualcuno di identificare l’email o il numero di telefono associato ad un account o, se conosceva l’email o il numero di telefono di una persona, poteva individuare l’eventuale account Twitter associato”.

Twitter ha già provveduto ad inviare notifiche agli utenti interessati che si sono trovati loro malgrado all’interno dell’elenco dei 5,4 milioni di profili. La società non è comunque in grado di determinare il numero esatto di persone che sono state vittima di questa violazione. Come già indicato, questa azione ha permesso di recuperare solamente informazioni pubbliche e sebbene nessuna password sia stata esposta, Twitter suggerisce agli utenti di abilitare l’autenticazione a due fattori sui propri account per ridurre il rischio di accessi non autorizzati. La società suggerisce inoltre, a coloro che utilizzano un account pseudonimo, di mantenere riservata e anonima la propria identità evitando di utilizzare numeri di telefono o email pubblicamente noti.

Dal momento che i dati sono in mano a qualcuno che ha interesse ad usarli, il rischio più probabile è quello di furti di identità e attacchi spear-pishing allo scopo di sottrarre le credenziali di accesso.

Fonte: http://feeds.hwupgrade.it/