Twitter, bir bilgisayar korsanının bir hesaba bağlı telefon numarası ve e-posta adresi gibi hassas bilgileri çalmasına izin veren ciddi bir sistem güvenlik açığından bu yılın başlarında yararlanıldığını doğruladı , ancak şimdi yamalandı. Güvenlik açığı, kötü bir oyuncunun bir telefon numarası veya e-posta adresi girip Twitter hesabının hangi Twitter hesabıyla ilişkili olduğunu öğrenebildiği Twitter’ın oturum açma akışıyla ilişkilendirildi.
Sosyal medya platformu, Ocak 2022’de olaydan haberdar edildi ve hemen bir yama yayınlandı, ancak 5.4 milyon hesabın verilerini çalmak için kötüye kullanılmadan önce değil. Twitter, saldırının bir parçası olarak hiçbir şifrenin sızdırılmadığını, ancak şirketin etkilenen tüm hesapları henüz tanımlamadığını söyledi. Şirket, hedef alındığını bildiği hesaplara ulaşacak ve sahiplerine hesap verilerinin karanlık bir web forumunda ele geçirilmeye hazır olduğunu bildirecek.
5,4 milyon başlı başına şaşırtıcı bir rakam olsa da, çeşitli nedenlerle kimliğini gizlemek isteyen takma adlı hesaplar için riskler yüksek. En iyi örnek , devlet kurumlarının yanı sıra derin cep şirketlerinden misilleme yapma riskleriyle karşı karşıya olan ihbar hesapları olabilir.
Perde arkasında ne oldu?
Ocak ayında, “zhirinovskiy” kullanıcı adına sahip bir siber güvenlik uzmanı , HackerOne forumunda bir Twitter güvenlik açığı bildirdi . Kullanıcı, oturum açma işlem hattı güvenlik açığının nasıl çalıştığını ve birkaç adımda yürütülmesinin ne kadar kolay olduğunu ayrıntılı olarak açıkladı. Önemli olan, kötü niyetli bir tarafın yalnızca bir telefon numarası veya e-posta adresi kullanarak bağlantılı Twitter hesabını bulabilmesiydi. Hata, Twitter’ın Android uygulamasında bulundu.
Yaklaşık iki hafta sonra, bir Twitter çalışanı sorunun giderildiğini doğruladı ve ayrıca “geçerli güvenlik sorununu” bulup düzeltmeye yardımcı olduğu için zhirinovskiy’e 5.040$ değerinde bir hata ödülü verdi ( Gizliliği Geri Yükle aracılığıyla ). Ancak yama çok geç geldi. Restore Privacy’ye göre, “şeytan” kullanıcı adını kullanan kötü bir oyuncu, 54.85.636 Twitter hesabının verilerini sıyırmak için güvenlik açığından zaten yararlanmıştı.
Çalınan veriler daha sonra Breached Forums adlı kötü şöhretli dark web hack topluluğunda satışa sunuldu. “Bu kullanıcılar, Ünlülerden Şirketlere, rastgelelere, OG’lere vb. bilgisayar korsanı gönderisine yazdı (Gizliliği Geri Yükle aracılığıyla). Verilerin gerçekliği, hacker ve Restore Privacy’deki uzmanlar tarafından doğrulandı. İlginç bir şekilde, bilgisayar korsanı 5,4 milyondan fazla Twitter hesabına ait veriler için 30.000 dolar gibi önemsiz bir miktar talep etti.
Sıradaki ne?
Sıradaki ne?Twitter ayrıca sızdırılan bilgilerin kimliğini doğruladı ve sızıntının meşru olduğunu doğruladı. Endişe verici bir şekilde, BleepingComputer , iki tarafın çalınan kullanıcı verilerini internette ücretsiz olarak yayınlamak amacıyla satın aldığını bildiriyor. Twitter ise kullanıcılarından hesaplarını güvende tutmak için iki faktörlü kimlik doğrulamayı etkinleştirmek veya donanım güvenlik anahtarlarını kullanmak gibi önleyici güvenlik önlemleri almalarını istiyor.
İlginç bir şekilde, bu Twitter için türünün ilk güvenlik olayı değil. 2019’da Twitter , 17 milyon telefon numarasının kendi Twitter hesaplarıyla eşleşmesine izin veren bir hatanın ayrıntılarını açıkladı . Bu, Twitter CEO’su Jack Dorsey’in antisemitik mesajlar ve ırkçı hakaretler göndermek için hesabının hacklenmesinden sadece birkaç ay sonra oldu . En son ihlalin ölçeğinden bağımsız olarak, özellikle devlet kurumlarının veya kazanılmış çıkarları olan diğer tarafların gözetimi altındaki takma adlı hesaplar için riskler oldukça gerçektir.
Twitter , birkaç hafta önce, özellikle hükümetin gazetecileri, insan hakları aktivistlerini ve siyasi muhalifleri giderek daha fazla baskı altına aldığı Hindistan gibi pazarlarda, devlet aktörlerinden gelen içerik kaldırma taleplerinin tüm zamanların en yüksek seviyesine ulaştığını açıkladı.