200 milyon Twitter kullanıcısının e-posta adreslerinin internete sızdırıldığı iddia edildi

200 milyon Twitter kullanıcısının e-posta adreslerini içerdiği açıklanan bir veri sızıntısı, popüler bir hacker forumunda yaklaşık 2 dolara yayınlandı. BleepingComputer, sızıntıda listelenen birçok e-posta adresinin geçerliliğini onayladı.

22 Temmuz 2022’den bu yana, tehdit aktörleri ve veri ihlali toplayıcıları, hem özel (telefon numaraları ve e-posta adresleri) hem de herkese açık verileri içeren, kazınmış Twitter kullanıcı profillerinden oluşan büyük veri kümelerini çeşitli çevrimiçi korsan forumlarında ve siber suç pazarlarında satıyor ve dağıtıyor.

Bu veri kümeleri, 2021 yılında, kullanıcıların bir Twitter Kimliği ile ilişkilendirilip ilişkilendirilmediklerini doğrulamak için e-posta adreslerini ve telefon numaralarını girmelerine olanak tanıyan bir Twitter API güvenlik açığından yararlanılarak oluşturuldu.

Tehdit aktörleri daha sonra kimlik için herkese açık Twitter verilerini kazımak üzere başka bir API kullandı ve Twitter kullanıcılarının profillerini oluşturmak için bu genel verileri özel e-posta adresleri/telefon numaraları ile birleştirdi.

Twitter bu kusuru Ocak 2022’de düzeltmiş olsa da, çok sayıda tehdit aktörü son zamanlarda bir yıldan uzun bir süre önce topladıkları veri setlerini ücretsiz olarak sızdırmaya başladı.

5,4 milyon kullanıcıya ait ilk veri seti, Temmuz ayında 30.000$’a satışa sunuldu ve sonunda 27 Kasım 2022’de ücretsiz olarak yayınlandı. 17 milyon kullanıcının verilerini içerdiği iddia edilen bir başka veri seti de Kasım ayında özel olarak dolaşıyordu.

Daha yakın zamanlarda, bir tehdit aktörü, bu güvenlik açığı kullanılarak toplanan 400.000 milyon Twitter profilini içerdiğini iddia ettiği bir veri setini satmaya başladı.

200 milyon satırlık Twitter profili ücretsiz olarak yayınlandı

Bugün bir tehdit aktörü, Breached bilgisayar korsanlığı forumundaki 200 milyon Twitter profilinden oluşan bir veri setini forum para biriminden yaklaşık 2 dolar değerinde sekiz kredi karşılığında yayınladı.

Bu veri setinin Kasım ayında dolaşımda olan 400 milyon setle aynı olduğu, ancak kopya içermemesi için temizlendiği iddia ediliyor. Ancak, BleepingComputer’ın testleri, bu son sızdırılan verilerdeki kopyaları da doğruladı.

Veriler, birleşik 59 GB veri boyutu için altı metin dosyasından oluşan bir RAR arşivi olarak yayınlandı.

Dosyalardaki her satır, aşağıda gösterildiği gibi bir Twitter kullanıcısını ve e-posta adreslerini, adları, ekran adlarını, takip sayılarını ve hesap oluşturma tarihlerini içeren verilerini temsil eder.

BleepingComputer, listelenen Twitter profillerinin çoğu için e-posta adreslerinin doğru olduğunu onaylamış olsa da, tam veri seti açıkça doğrulanmadı.

Ayrıca, sızıntıda bulunmayan birçok kullanıcı olduğu için veri seti tam olmaktan uzaktır.

Bilgilerinizin bu veri kümesinde olup olmaması büyük ölçüde e-posta adresinizin önceki veri ihlallerinde açığa çıkıp çıkmadığına bağlıdır.

2021’de tehdit aktörleri, önceki veri ihlallerinde açığa çıkan çok sayıda e-posta adresi ve telefon numarası listesi oluşturdu.

Sıyırıcılar daha sonra bu listeleri, numaranızın veya e-posta adresinizin e-posta veya telefon numarasına karşılık gelen bir Twitter Kimliği ile ilişkilendirilip ilişkilendirilmediğini görmek için API hatasını besledi.

E-posta adresiniz sadece Twitter’da kullanılsaydı veya çok fazla veri ihlaline uğramasaydı, API hatasına beslenip bu veri kümesine eklenmezdi.

BleepingComputer, sızan bu verilerle ilgili olarak Twitter ile iletişime geçti, ancak buna veya önceki e-postalarımıza bir yanıt almadı.

Ne yapmalısın?

Bu veri sızıntısı yalnızca e-posta adreslerini içerse de, tehdit aktörleri tarafından özellikle doğrulanmış hesaplara yönelik kimlik avı saldırıları gerçekleştirmek için kullanılabilir.

Büyük takipçileri olan doğrulanmış hesaplar, genellikle çevrimiçi dolandırıcılık yoluyla kripto para birimini çalmak için kullanıldıkları için oldukça değerlidir.

Bu sızıntı aynı zamanda, özellikle anonim olarak tweet atan Twitter kullanıcıları için önemli bir gizlilik endişesidir. Bu sızıntı ile anonim Twitter kullanıcılarını tespit etmek ve gerçek kimliklerini ortaya çıkarmak mümkün olabilir.

Tüm Twitter kullanıcıları, parolalarınızı veya diğer hassas bilgilerinizi çalmaya çalışan hedefli kimlik avı dolandırıcılıklarına karşı tetikte olmalıdır.

Ne yazık ki, kimliğinizin sızan bir e-posta adresi tarafından ifşa edilmesinden endişe ediyorsanız yapabileceğiniz pek bir şey yok.