El hacker 'Ryushi' exige a Twitter que pague un rescate de 200,000 dólares para evitar la divulgación de datos personales de más de 400 millones de usuarios de Twitter

El hacker 'Ryushi' exige a Twitter que pague un rescate de 200,000 dólares para evitar la divulgación de datos personales de más de 400 millones de usuarios de Twitter

Marca de tiempo: 28 de diciembre de 2022 9:52 a.m.
Nodo de origen: 1850501

Un hacker llamado 'Ryushi' afirmó tener los datos de 400 millones de usuarios de Twitter y los ofrece a la venta a menos que Elon Musk pague un rescate. Si bien las empresas de seguridad aún están trabajando para verificar la autenticidad de los datos, Ryushi exige que Twitter pague un rescate de $ 200,000 para evitar la publicación.

En una publicación del foro, Ryushi incluye datos de muestra de treinta y siete celebridades, políticos, periodistas, corporaciones y agencias gubernamentales, incluidos Alexandria Ocasio-Cortez, Donald Trump JR, ​​Mark Cuba, Kevin O'Leary y Piers Morgan. Además, más tarde se filtró una muestra mayor de 1,000 perfiles de usuarios de Twitter.

Los perfiles de usuario contienen datos públicos y privados de Twitter, incluidas las direcciones de correo electrónico, los nombres, los nombres de usuario, el número de seguidores, la fecha de creación y los números de teléfono de los usuarios. Aunque todos los perfiles filtrados parecen tener direcciones de correo electrónico asociadas, muchos no tienen números de teléfono.

Ryushi también se vinculó a una publicación en Archive.org explicando cómo los compradores podrían beneficiarse de los datos robados. Agregó que los datos podrían usarse para ataques de phishing, intercambio de SIM, estafas criptográficas, ataques BEC, cuentas de phishing o usuarios criptográficos, entre otros.

El supuesto volcado de datos ahora se vende en el foro de hacking Breached, un sitio comúnmente utilizado para vender datos de usuarios robados en violaciones de datos. Ryushi les dijo a BleepingComputer que está buscando vender los datos de Twitter exclusivamente a Twitter o a una sola persona por $ 200,000 y luego eliminará los datos. Sin embargo, si no se realiza una compra exclusiva, venderá copias a varias personas por $60,000 por venta.

Ryushi también advirtió a Elon Musk y Twitter que deberían comprar los datos antes de que conduzcan a una gran multa según la ley de privacidad GDPR de Europa.

“Twitter o Elon Musk, si está leyendo esto, ya se está arriesgando a una multa de GDPR por más de 5.4 millones de incumplimientos que representan la multa de la fuente de incumplimiento de 400 millones de usuarios”, escribió Ryushi en una publicación del foro. "Su mejor opción para evitar pagar $ 276 millones de dólares en multas por incumplimiento de GDPR como lo hizo Facebook (debido a que 533 millones de usuarios fueron eliminados) es comprar estos datos exclusivamente".

Cuando se les preguntó si se comunicaron con Twitter para rescatar los datos, le dijeron a BleepingComputer que se comunicaron con Twitter e hicieron llamadas, pero no recibieron respuesta.

Vulnerabilidad de la API de Twitter

Ryushi le dijo a BleepingComputer que los datos se extrajeron en 2021 utilizando una vulnerabilidad de API ahora reparada, que anteriormente se asoció con una violación de datos separada en 2021. La vulnerabilidad permite que un atacante o actor de amenazas inserte una gran fuente de números de teléfono y direcciones de correo electrónico en el API y recibir ID de usuario de Twitter asociadas en respuesta.

“Obtuve acceso por el mismo exploit utilizado para la fuga de datos de 5.4 millones. Hablé con el vendedor y confirmó que estaba en el flujo de inicio de sesión de Twitter”, dijo Ryushi. "Entonces, en la verificación de duplicación, filtró el ID de usuario que convertí usando otra API en nombre de usuario y otra información".

Aunque Twitter solucionó la vulnerabilidad en enero de 2022, BleepingComputer confirmó que múltiples actores de amenazas han utilizado la vulnerabilidad para extraer información privada de los usuarios de Twitter.

Según Alon Gal de la empresa de inteligencia de amenazas Hudson Rock, en este momento es imposible verificar completamente que hay 400 millones de usuarios en la base de datos. Sin embargo, Hudson Rock dijo que han verificado de forma independiente que las muestras filtradas parecen legítimas.

“Tenga en cuenta: en esta etapa no es posible verificar completamente que de hecho hay 400,000,000 de usuarios en la base de datos”, tuiteó Hudson Rock. “A partir de una verificación independiente, los datos en sí parecen ser legítimos y haremos un seguimiento de cualquier desarrollo”.

Sello de tiempo:

Mas de Startups tecnológicas