Twitter、「証拠がない」と主張 2 億件のユーザー名と電子メール アドレスが漏えい、システムの悪用によるもの

2 億以上の関連付けられた Twitter ユーザー名と電子メール アドレスを明らかにするオンラインの主張を投稿したデータベース。 さて、最初の報告から数日後、 ツイッターは言う 「データセットは、以前に報告されたインシデントや、Twitter システムの悪用に由来するデータと関連付けることができませんでした。」

によると セキュリティ研究者からのレポート と報道機関 含む ビープ音コンピュータ、リークの資格情報は、2021年にさかのぼる以前の多くのTwitter違反からコンパイルされました。ただし、Twitterによると、「最近販売されたデータがTwitterシステムの脆弱性を悪用して取得されたという証拠はありません」.

その声明では、データセット内の情報について、「データは、さまざまなソースを通じてオンラインで既に公開されているデータのコレクションである可能性が高い」とだけ述べています。

ザ・バージ リークの記録の正確性についてさらに明確にするためにTwitterに連絡しましたが、TwitterはElon Muskに買収されて以来、機能しているプレスオフィスを持っていません.

11 月に報告された 540 万のユーザー アカウントは、2022 年 8 月に公開されたものと同じであることが判明しました。

2 回目の違反とされるユーザー データの 4 億インスタンスは、以前に報告されたインシデントや新しいインシデントと関連付けることができませんでした。

2 億のデータセットは、以前に報告されたインシデントや、Twitter システムの悪用に由来するデータと関連付けることができませんでした。

どちらのデータセットも同じでしたが、2 番目のデータセットでは重複したエントリが削除されていました。

分析されたデータセットには、パスワードの侵害につながる可能性のあるパスワードや情報が含まれていませんでした。

「これは私が見た中で最も重大なリークの 1 つです」と、イスラエルのサイバーセキュリティ会社 Hudson Rock の共同創設者である Alon Gal 氏は、データを説明する投稿で述べました。 の上 リンクトイン. 「[It] 残念ながら、多くのハッキング、標的型フィッシング、ドクシングにつながるでしょう。」 専門家や Twitter が指摘しているように、データセットにはパスワードは含まれていませんが、特定のアカウントを標的とするハッカーにとっては、電子メール アドレスが特に役立つ可能性があります。

このような大規模なデータ ダンプには重複したレコードが含まれる傾向があるため、侵害の影響を受けた正確なユーザー数の見積もりはさまざまです。 が共有するデータベースのスクリーンショット ビープ音コンピュータ 電子メール アドレスとリンクされた Twitter ユーザー名、ユーザーの本名 (サイトと共有している場合)、フォロワー数、アカウント作成日をリストした多数のテキスト ファイルが含まれていることを示します。 ビープ音コンピュータ 「リークに記載された電子メール アドレスの多くの有効性を確認した」と述べ、データベースは 1 つのハッキング フォーラムでわずか 2 ドルで販売されていたと述べました。

Troy Hunt 氏、サイバーセキュリティ警告サイトの作成者 ハヴ・アイ・ビーン・プーンド、また違反を分析し、彼の結論を共有しました Twitter上で: 「211,524,284 個の一意の電子メール アドレスが見つかりました。説明されている内容とほとんど同じようです。」

侵害は、Have I Been Pwned のシステムに追加されました。 サイトにアクセスできます メールアドレスを入力して、データベースに含まれているかどうかを確認します。

データベースの起源は2021年までさかのぼるそうで、 レポート ワシントン・ポスト、ハッカーが Twitter のセキュリティ システムの脆弱性を発見したとき。 この脆弱性により、悪意のある攻撃者はアカウント ルックアップを自動化でき、メール アドレスと電話番号をまとめて入力して、それらが Twitter アカウントに関連付けられているかどうかを確認できました。

Twitter は 2022 年 8 月にこの脆弱性を公開し、バグ報奨金として報告された後、その年の 1 月に問題を修正したと述べました。 同社は当時、「誰かが脆弱性を利用したことを示唆する証拠はなかった」と主張していたが、サイバーセキュリティの専門家はすでに 販売用の Twitter 資格情報のデータベースを発見 その年の7月。

同社は水曜日に、調査の結果、11 月に約 540 万のユーザー アカウントが流出したことも明らかになったと述べた。 これは、Twitter が約 7 か月間気付かなかった数年前の脆弱性に起因する唯一のデータセットのようです。

この侵害は、ユーザーのデータを保護するために長い間苦労してきた Twitter に影響を与える最新のサイバーセキュリティの大失敗にすぎません。 同社はすでに EUが調査した （2022 年 7 月の最初の報告に基づく） 同様のセキュリティ失効についてFTCによって調査されました. 昨年 8 月、Twitter の元セキュリティ責任者である Peiter “Mudge” Zatko は、米国政府に苦情を申し立て、同社はサイバーセキュリティ防御の「重大な欠陥」を隠蔽していると主張しました。

更新 1 月 11 日午後 4 時 05 分 (ET): 漏洩した ID のほとんどをそのシステムからのデータに関連付ける証拠はないと主張する、インシデントに対する Twitter の応答を追加しました。