"Ryushi" hacker 200,000 400 dollár váltságdíjat követel a Twitteren, hogy elkerülje több mint XNUMX millió Twitter-felhasználó személyes adatainak kiadását

"Ryushi" hacker 200,000 400 dollár váltságdíjat követel a Twitteren, hogy elkerülje több mint XNUMX millió Twitter-felhasználó személyes adatainak kiadását

Időbélyeg: 28. december 2022. 9:52
Forrás csomópont: 1850501

Egy Ryushi nevű hacker azt állította, hogy 400 millió Twitter-felhasználó adataival rendelkezik, és eladásra kínálja, hacsak Elon Musk nem fizet váltságdíjat. Miközben a biztonsági cégek továbbra is dolgoznak az adatok hitelességének ellenőrzésén, Ryushi 200,000 XNUMX dolláros váltságdíjat követel a Twittertől, hogy elkerülje a kiadást.

Egy fórumbejegyzésben Ryushi harminchét híresség, politikus, újságíró, vállalat és kormányzati ügynökség mintaadatait tartalmazza, köztük Alexandria Ocasio-Cortezt, Donald Trump JR-t, Mark Cubát, Kevin O'Learyt és Piers Morgant. Ráadásul később egy nagyobb, 1,000 Twitter felhasználói profilból álló minta is kiszivárgott.

A felhasználói profilok nyilvános és privát Twitter-adatokat tartalmaznak, beleértve a felhasználók e-mail címét, nevét, felhasználónevét, követői számát, létrehozásának dátumát és telefonszámait. Bár úgy tűnik, hogy az összes kiszivárgott profilhoz e-mail-cím tartozik, sokuknál nincs telefonszám.

Ryushi egy bejegyzéshez is linkelt a Archive.org elmagyarázza, hogyan profitálhatnak a vásárlók az ellopott adatokból. Hozzátette, az adatok felhasználhatók többek között adathalász támadásokhoz, SIM-cseréhez, kriptocsalásokhoz, BEC-támadásokhoz, adathalász fiókokhoz vagy kripto-felhasználókhoz.

Az állítólagos adatgyűjteményt most a Breached hacker fórumon árulják, egy olyan webhelyen, amelyet gyakran használnak az adatszivárgás során ellopott felhasználói adatok értékesítésére. Ryushi mondta BleepingComputer, hogy a Twitter-adatokat kizárólag a Twitternek vagy egyetlen személynek szeretné eladni 200,000 60,000 dollárért, majd törölni fogja az adatokat. Ha azonban nem történik exkluzív vásárlás, akkor több embernek is eladja a másolatokat eladásonként XNUMX XNUMX dollárért.

Ryushi arra is figyelmeztette Elon Muskot és a Twittert, hogy meg kell vásárolniuk az adatokat, mielőtt azok az európai GDPR adatvédelmi törvény értelmében jelentős bírságot vonnának maguk után.

„A Twitter vagy Elon Musk, ha ezt olvassa, már 5.4 millió feletti GDPR-bírságot kockáztat, ha a 400 millió felhasználó büntetését a forrás megsértése okozza” – írta Ryushi egy fórumbejegyzésében. „A legjobb megoldás a GDPR megsértése miatti 276 millió dolláros pénzbírság elkerülésére, mint a Facebooknál (ami 533 millió felhasználót töröltek ki), ha kizárólagosan megvásárolja ezeket az adatokat.”

Arra a kérdésre, hogy felvették-e a kapcsolatot a Twitterrel az adatok váltságdíja miatt, azt mondták a BleepingComputernek, hogy felvették a kapcsolatot a Twitterrel és hívtak, de nem kaptak választ.

Twitter API sebezhetőség

Ryushi elmondta a BleepingComputernek, hogy az adatokat 2021-ben kaparták ki egy most javított API-sebezhetőség segítségével, amely korábban egy különálló, 2021-es adatsértéssel járt. A sérülékenység lehetővé teszi, hogy a támadó vagy fenyegető szereplő nagy mennyiségű telefonszámot és e-mail-címet illesszen be a API-t, és válaszul megkapja a kapcsolódó Twitter felhasználói azonosítókat.

„Az 5.4 milliós adatszivárgáshoz használt exploit segítségével már elértem. Beszélt az eladóval, és megerősítette, hogy a Twitter bejelentkezési folyamatban van” – mondta Ryushi. "Tehát a duplikáció ellenőrzése során kiszivárogtatta a felhasználói azonosítót, amelyet egy másik API-val konvertáltam felhasználónévvé és egyéb információkká."

Bár a Twitter 2022 januárjában kijavította a sebezhetőséget, a BleepingComputer megerősítette, hogy a sérülékenységet több fenyegető szereplő is felhasználta a Twitter-felhasználók személyes adatainak lekaparására.

Alon Gal, a Hudson Rock fenyegetés-felderítő cég munkatársa szerint jelenleg lehetetlen teljes mértékben ellenőrizni, hogy 400 millió felhasználó van-e az adatbázisban. Hudson Rock azonban azt mondta, hogy egymástól függetlenül ellenőrizték, hogy a kiszivárgott minták legitimnek tűnnek.

„Kérjük, vegye figyelembe: ebben a szakaszban nem lehet teljes mértékben ellenőrizni, hogy valóban 400,000,000 XNUMX XNUMX felhasználó van-e az adatbázisban” – írta Hudson Rock a Twitteren. „Független ellenőrzés alapján az adatok jogszerűnek tűnnek, és nyomon követjük a fejleményeket.”

Időbélyeg:

Még több TechStartups