Twitter informa sobre una nueva falla de seguridad que ha llevado a la exposici�n de 5,4 millones de cuentas

Twitter se ha visto obligado a informar otra falla de seguridad dentro de sus sistemas que hab�a permitido a los usuarios descubrir si un n�mero de tel�fono o una direcci�n de correo electr�nico estaban conectados a una cuenta de Twitter existente, lo que llev� a que al menos un hacker compilara una enorme lista de informaci�n de la cuenta de Twitter que luego se vendi� en l�nea.

Como lo explica Gorjeo:

�En enero de 2022, recibimos un informe a trav�s de nuestro programa de recompensas por errores de una vulnerabilidad en los sistemas de Twitter. Como resultado de la vulnerabilidad, si alguien envi� una direcci�n de correo electr�nico o un n�mero de tel�fono a los sistemas de Twitter, los sistemas de Twitter le dir�an a la persona con qu� cuenta de Twitter se asociaron las direcciones de correo electr�nico o el n�mero de tel�fono enviados, si corresponde. Cuando nos enteramos de esto, inmediatamente investigamos y lo arreglamos. �

Entonces, esencialmente, al usar las herramientas de Twitter dise�adas para ayudar a los usuarios a encontrar conexiones que tambi�n est�n activas en la aplicaci�n, te�ricamente podr�a crear una base de datos de cuentas de Twitter adjuntas a cualquier n�mero de tel�fono o direcci�n de correo electr�nico que haya ubicado en la web.

Esto no es una gran revelaci�n. En 2015, BuzzFeed us� una falla similar en los sistemas de Twitter para descubrir la cuenta oculta de un pol�tico de extrema derecha en Australia. Pero es el uso masivo de este proceso lo que podr�a generar problemas.

Que es exactamente lo que ha ocurrido:

�En julio de 2022, supimos a trav�s de un informe de prensa que alguien potencialmente hab�a aprovechado esto y estaba ofreciendo vender la informaci�n que hab�an recopilado. Despu�s de revisar una muestra de los datos disponibles para la venta, confirmamos que un mal actor se hab�a aprovechado del problema antes de que se solucionara�.

De hecho, seg�n BleepingComputer, se habl� con una persona que us� esta falla para compilar una base de datos de 5,4 millones de perfiles de cuentas de Twitter ‘incluido un n�mero de tel�fono verificado o una direcci�n de correo electr�nico, e informaci�n p�blica recopilada, como recuentos de seguidores, nombre de pantalla, nombre de inicio de sesi�n, ubicaci�n, URL de la imagen de perfil y otra informaci�n’.

La persona, dice BleepingComputer, ha estado buscando vender el conjunto de datos por alrededor de $ 30,000 y, seg�n se informa, varios compradores han adquirido el cach� desde entonces.

No se trata de una infracci�n masiva, ya que se trata, en su mayor parte, de informaci�n disponible p�blicamente: no obtiene nada que no est� disponible gratuitamente a trav�s de otros medios en la web. Pero para los usuarios que han estado buscando mantener su perfil de Twitter separado de su identidad en la vida real, o aquellos que podr�an estar tuiteando sobre temas divisivos, significa que las personas podr�an rastrear sus n�meros de tel�fono a trav�s de esta lista y acosarlos en un forma completamente nueva y m�s extrema.

De hecho, si sigue las migas de pan, es probable que pueda rastrear la direcci�n de una persona y otra informaci�n como una extensi�n de este conjunto de datos. Por ejemplo, supongamos que el usuario de Twitter @JohnDoe77 dice algo que no le gusta: podr�a buscar su nombre de usuario en esta base de datos, si tuviera acceso, y ver si tiene un n�mero de tel�fono m�vil en la lista. Luego, puede buscar ese n�mero en l�nea y probablemente encontrar m�s informaci�n de contacto, etc.

Los datos en s� mismos pueden no parecer una violaci�n extrema, no revelan informaci�n confidencial adjunta a su cuenta de Twitter, como tal. Pero sigue siendo potencialmente problem�tico. Lo cual no es un buen aspecto para Twitter.

Tampoco es la primera vez que Twitter se enfrenta a un problema de uso indebido de datos de este tipo.

En 2018, la plataforma descubierta un problema relacionado con uno de sus formularios de soporte, que expon�a el c�digo de pa�s de los n�meros de tel�fono de las personas, si ten�an uno asociado con su cuenta de Twitter, as� como si su cuenta hab�a sido bloqueada o no. En 2019, Twitter tambi�n fDescubri� que algunas direcciones de correo electr�nico y n�meros de tel�fono que se hab�an proporcionado para la seguridad de la cuenta tambi�n se hab�an utilizado con fines de orientaci�n de anuncios, en violaci�n de las normas de uso de datos.

Todos estos son defectos relativamente menores, en un sentido de flujo de datos. Pero no pintan una gran imagen de la capacidad de Twitter para administrar esto y mantener segura la informaci�n personal de las personas.

Twitter tambi�n debe actuar con mucho cuidado en este momento, dada la batalla legal en curso en el caso de adquisici�n de Elon Musk. En la actualidad, Musk y su equipo buscan salir del trato, sobre la base de que Twitter ha tergiversado sus datos, lo que constituye un ‘Efecto adverso material’, lo que significa que algo significativo ha alterado los t�rminos originales acordados, hasta el punto de que el plataforma ya no es tan valiosa como lo era originalmente en el momento del acuerdo.

El equipo de Musk est� utilizando los n�meros de cuenta falsos y de spam de Twitter como palanca clave aqu�, pero si una violaci�n de datos como esta fuera lo suficientemente significativa, eso tambi�n podr�a agregarse al caso legal de Musk, lo que le dar�a m�s motivos para plantear preguntas sobre las representaciones oficiales de Twitter, que entonces puede constituir un impacto adverso.

No parece que esta brecha llegue a ese nivel, pero es otro recordatorio para que Twitter verifique y vuelva a verificar sus sistemas para asegurarse de que no haya fallas importantes en los datos o problemas de exposici�n que puedan usarse en su contra, tanto directamente como en un sentido jur�dico.

En este momento, sin embargo, Twitter est� trabajando para manejar el problema, cerrando la vulnerabilidad potencial y notificando directamente a los propietarios de las cuentas afectadas.

«Estamos publicando esta actualizaci�n porque no podemos confirmar todas las cuentas que se vieron potencialmente afectadas, y somos particularmente conscientes de las personas con cuentas seud�nimas que pueden ser atacadas por el estado u otros actores».

No es genial, y podr�a empeorar mucho si ese conjunto de datos cae en las manos equivocadas.

Esencialmente, este no es un problema importante en este momento, pero podr�a convertirse en uno. Y en medio de su mayor batalla legal, posiblemente nunca, Twitter no necesita otra distracci�n, aparte de los impactos directos de la violaci�n en los incluidos en la lista.