Nueva brecha de seguridad en Twitter, vinculada a la vulnerabilidad que permitió robar datos de 5,4 millones de usuarios

La identificación de otra base de datos de usuarios de Twitter filtrada ha alertado sobre más de un actor malicioso haciendo uso de la misma vulnerabilidad que ya reconoció la compañía este verano y que afectó entonces a más de 5,4 millones de usuarios.

Una actualización del código de seguridad de Twitter implementada en junio de 2021 generó una vulnerabilidad que un hacker de la firma HackerOne reportó a la compañía en enero, dentro de su programa de bugs (errores) y recompensas. Twitter aseguró entonces que nada más conocer el fallo lo solucionó, y reconoció que la plataforma había sido víctima, por dicha vulnerabilidad, de un ciberataque que se saldó con el robo y la filtración de los datos de 5,4 millones de usuarios.

El experto en seguridad Chad Loder ha alertado ahora de que la vulnerabilidad pudo ser explotada por más actores maliciosos, dada la base de datos que ha identificado y que no había sido previamente reportada. Loder afirma que ha tenido acceso a una muestra con la que ha podido comprobar que se trata de datos reales de usuarios. En concreto, de números de teléfono de usuarios de Francia, aunque la base de datos incluye información sobre millones de usuarios de la Unión Europea y Estados Unidos.

Los números de teléfono filtrados se vinculan con cuentas que tenían activada la función que permite que otras personas encuentren al usuario por su número de teléfono. Y afecta a usuarios con cuentas verificadas, celebridades, políticos y organismos gubernamentales.

El mismo fallo del sistema

El experto de ciberseguridad no cree que se trate de la misma brecha de datos que Twitter reconoció en verano, pese a que tienen en común el mismo fallo del sistema, ya que se trata de datos diferentes y de distintas cuentas afectadas.

Loder ha compartido sus hallazgos tanto en Mastodon como en Twitter, donde su cuenta ha sido suspendida, aunque se puede consultar el hilo sobre la brecha de datos en Archive.org.

Por otra parte, desde el portal especializado Bleeping Computer han informado de que la base de datos que afectó a 5,4 millones de usuarios, que se puso a la venta a través de Breached Forums, ha aparecido ahora de forma gratuita en el mismo foro de piratería.