Twitter xác nhận về lỗ hổng gây lộ 5,4 triệu tài khoản

Tuần trước, Twitter tiết lộ rằng một lỗ hổng zero-day [hiện đã được vá] đã bị lạm dụng để liên kết số điện thoại và email với tài khoản người dùng trên nền tảng này.

"Do lỗ hổng bảo mật, bất kỳ ai gửi địa chỉ email hoặc số điện thoại đến hệ thống Twitter đều sẽ nhận được thông tin tài khoản Twitter đã được liên kết với địa chỉ email hoặc số điện thoại nếu có".

Twitter cho biết lỗ hổng được phát hiện vào tháng 1 năm 2022, bắt nguồn từ một thay đổi mã nguồn vào tháng 6 năm 2021; và không có mật khẩu nào bị lộ do sự cố.

Lỗ hổng không được biết đến trong 6 tháng cho đến khi một đối tượng không rõ danh tính có khả năng đã lợi dụng lỗ hổng trước khi vá để lấy thông tin người dùng và rao bán trên các diễn đàn tội phạm mạng vào tháng trước.

Mặc dù Twitter không tiết lộ số lượng chính xác người dùng bị ảnh hưởng, nhưng bài đăng trên diễn đàn do kẻ đe dọa thực hiện cho thấy lỗ hổng có thể đã bị khai thác để lấy thông tin được cho là của hơn 5,48 triệu hồ sơ tài khoản người dùng.

Restore Privacy đã tiết lộ vi phạm vào cuối tháng trước, cho biết cơ sở dữ liệu đã được rao bán với giá 30.000 đô.

Twitter cho biết họ đang thông báo trực tiếp cho các chủ sở hữu tài khoản bị ảnh hưởng bởi sự cố, đồng thời kêu gọi người dùng bật xác thực hai yếu tố để ngăn chặn những đăng nhập trái phép.

Sự việc diễn ra cùng khi Twitter đồng ý trả khoản tiền phạt 150 triệu đô để giải quyết khiếu nại từ Bộ Tư pháp Mỹ [vào tháng 5] cáo buộc công ty từ năm 2014 đến 2019 đã sử dụng thông tin của chủ tài khoản được cung cấp để xác minh bảo mật cho mục đích quảng cáo mà không có sự đồng ý của họ.

Nguồn: thehackernews.com.