Un hacker dice tener los mails y teléfonos de 5,4 millones de usuarios de Twitter. Los ha publicado en un foro

Mientras que Elon Musk explica el nuevo sistema de verificaciones de Twitter y se prepara para ir a la guerra contra Apple, un usuario asegura en un foro de piratería haber publicado datos de 5,4 millones de cuentas de la red social filtrados en el año pasado. Si bien parte de la información que estaría expuesta es pública, como nombres de usuario y estados de verificación, también habría información privada, como números de teléfono y direcciones de correo electrónico.

Sabemos que las filtraciones son un negocio para los actores maliciosos que intentan sacar algún rédito económico con ellas. Quienes compran las bases de datos suelen utilizarlas para combinarlas, revenderlas o montar campañas fraudulentas. En el caso de Twitter, según explica Bleeping Computer, la información filtrada de la red social fue puesta a la venta el pasado mes de julio por 30.000 dólares en foros de hackers. Ahora, sin embargo, ha sido publicada de forma gratuita.

Datos de millones de usuarios de Twitter, filtrados

Los datos de las 5,4 millones de cuentas, si bien han empezado a circular gratuitamente ahora, no corresponden a una filtración producida recientemente. De acuerdo al mencionado medio, estos datos fueron recopilados en diciembre de 2021 gracias a una vulnerabilidad de la API de Twitter que permitiría recuperar un ID de la red social suministrando un número de teléfono o dirección de correo asociado. Los piratas informáticos aprovecharon esta mecánica para robar información.

El problema de seguridad fue descubierto por el programa de recompensa de errores de Hacker One a principios de este año. Sin embargo, no fue hasta agosto de 2022 que Twitter reconoció públicamente el incidente, aunque aclaró que había tomado medidas inmediatamente después de que les fue notificada la vulnerabilidad. “Este error se debió a una actualización de nuestro código en junio de 2021. Cuando nos enteramos de esto, lo investigamos de inmediato y lo solucionamos", señalaron.

Si bien Twitter aseguró en ese momento que no tenía evidencia de que alguien hubiera explotado la vulnerabilidad, el propietario del foro de piratería Breached, cuyo seudónimo es Pompompurin, dijo que había hecho uso de la misma. En principio se creó una enorme base de datos de 6,8 millones de cuentas de Twitter que incluía nombres de usuario, nombres de cuenta, biografías, ubicaciones, direcciones de correo y números de teléfono. 5,4 millones pertenecían a cuentas activas y 1,4 millones a cuentas suspendidas.

Pero Pompompurin no sería el único en haber explotado esta vulnerabilidad. El experto en seguridad Chad Loder ha advertido que el fallo en la API de Twitter podría haber sido utilizada por otros actores maliciosos. Loder dice que ha tenido acceso a una muestra de otra base de datos que no había sido previamente reportada. La misma contendría información de millones de usuarios de Estados Unidos y la Unión Europea, incluidas cuentas verificadas de celebridades.

Ante este escenario es un buen momento para redoblar la atención en caso de recibir un mensaje sospechoso. Los actores maliciosos con acceso a esta información podrían utilizarla, como decimos arriba, para ejecutar un amplio abanico de ataques dirigidos. Entre ellos podemos encontrar los ataques de phishing. Se trata de suplantar la identidad de alguien mediante un correo o mensaje para conseguir las credenciales o información de la tarjeta de crédito de las víctimas.

Imágenes: Claudio Schwarz | Joshua Hoehne

En Xataka: Musk ya prevé que Apple y Google baneen a Twitter. Si sucede, tiene un plan: su propio teléfono