Ein Hacker mit dem Pseudonym „devil“ nutzte eine Sicherheitslücke, die vor einigen Monaten in Twitters Android-Client bestand, um Millionen privater Twitter-Datensätze abzugreifen. Seit vergangenen Donnerstag bietet er diese nun in einschlägigen Foren an und verlangt einen Preis von mindestens 30 000 US-Dollar.
Wie gelang der Hacker an die sensiblen Daten von Millionen Twitter-Nutzern?
Am 1. Januar dieses Jahres entdeckte der Nutzer „zhirinovskiy“ der Plattform HackerOne die massive Schwachstelle in Twitters Android-Client. Er stufte seine Entdeckung als schwerwiegend ein und meldete die Lücke dem US-amerikanischen Unternehmen. „Zhirinovskiy“ erhielt von Twitter eine Belohnung von 5 040 US-Dollar und schloss die Schwachstelle am 13. Januar. Obwohl schnell reagiert wurde, konnte die Lücke bereits von dem Hacker ausgenutzt werden. Dass die nun zum Verkauf angebotenen Twitter-Datensätze aus dieser massiven Sicherheitslücke Anfang des Jahres stammen, bestätigte der Hacker selbst gegenüber dem Security-Portal RestorePrivacy. Durch die Schwachstelle bei der Autorisierung gelang es dem Cyberkriminellen verschiedene Daten wie E-Mail-Adressen und Telefonnummern, die mit einem Twitter-Account verknüpft sind, auszulesen. Dies war selbst dann möglich, wenn die Nutzer eingestellt hatten, dass diese nicht einsehbar sind.
„Die Lücke erlaubt es jeder Partei, ohne irgendeine Authentifizierung an Twitter-IDs beliebiger User zu gelangen. Dabei muss lediglich eine Telefonnummer oder E-Mail übergeben werden“, schreib der Entdecker der Lücke „zhirinovskiy“ in einem Foren-Beitrag.
Hacker bietet Millionen Datensätze zum Verkauf an
Die insgesamt 5,485 Millionen Twitter-Datensätze werden von „devil“ jetzt auf der Hacking-Plattform „Breached Forums“ am vergangenen Donnerstag für insgesamt 30 000 US-Dollar angeboten. Die Echtheit der Datensätze konnte durch Bleepingcomputer bereits verifiziert werden. Der Hacker gab der Technologienachrichten-Website gegenüber an, dass es bereits Interessenten gebe. Bei den Twitter-Nutzerkonten handelt es sich unter anderem auch um Konten von Firmen oder prominenten Personen. In den Datensätzen enthalten sind Nutzer- und Klarnamen sowie Telefonnummern und E-Mail-Adressen von Twitter-Usern weltweit. Dass die zum Verkauf angebotenen Daten tatsächlich von Twitter stammen, bestätigte das US-amerikanische Unternehmen. Die sensiblen Daten können nun von anderen Cyberkriminellen für weitere Hackerangriffe auf die betroffenen User genutzt werden.
Hinterlasse jetzt einen Kommentar