Forscher missbraucht Twitter-API und erhält Nutzernamen und Telefonnummern

Twitter meldet einen weiteren Sicherheitsvorfall. Nicht näher genannte Dritte haben offenbar eine offizielle Programmierschnittstelle (Application Programming Interface, API) missbraucht, um Telefonnummern und Namen von Twitter-Nutzern zusammenzuführen. Auf die unerlaubten API-Zugriffe wurde Twitter bereits am 24. Dezember aufmerksam.

Zu dem Zeitpunkt schaltete Twitter nach eigenen Angaben ein Netzwerk aus gefälschten Twitter-Konten ab, das für den Missbrauch verantwortlich war. Die Konten waren dem jetzt veröffentlichten Untersuchungsbericht zufolge auf mehrere Länder verteilt. Auffallend viele Anfragen kamen demnach jedoch von IP-Adressen aus Iran, Israel und Malaysia. Twitter schließt zudem nicht aus, dass einige dieser IP-Adressen mit staatlich unterstützten Hackern in Verbindung stehen.

Die fragliche Programmierschnittstelle wird eigentlich benutzt, um neu registrierten Nutzern zu helfen, weitere Twitter-Mitglieder in ihrem Adressbuch aufzuspüren, und zwar anhand ihrer Telefonnummer. Die Funktion deckt allerdings nur Konten ab, bei denen die Option zur Auffindbarkeit per Telefonnummer aktiviert wurde. Von dem Vorfall nicht betroffen sind selbstverständlich auch alle Nutzer, die keine Telefonnummer in ihrem Twitter-Konto hinterlegt haben.

„Nach unserer Untersuchung nahmen wir sofort eine Reihe von Änderungen an diesem Endpunkt vor, so dass er auf Anfragen keine spezifischen Kontonamen mehr zurückgeben konnte. Darüber hinaus haben wir jedes Konto gesperrt, von dem wir glauben, dass es diesen Endpunkt ausgenutzt hat“, teilte Twitter nun mit.

Öffentlich gemacht hatte den Vorfall TechCrunch bereits am 24. Dezember. Demnach wurde der Bug von einem Forscher namens Ibrahim Balic entdeckt, der nach eigenen Angaben 17 Millionen Telefonnummern zu Twitter-Konten zugeordnet haben soll. Zu diesem Zweck lud er Listen mit generierten Telefonnummern zu Twitter hoch, die dann anschließend die Namen von Twitter-Nutzern lieferten.

Dem Bericht zufolge akzeptiert Twitter keine Adressbücher mit fortlaufenden Telefonnummern, um einen Missbrauch zu verhindern. Diese Sicherheitsfunktion umging der Forscher, indem er die von ihm generierten Telefonnummern vor dem Upload zufällig sortierte.

Die rund 17 Millionen Paare aus zufälligen Telefonnummern und echten Twitter-Konten rief der Forscher über einen Zeitraum von zwei Monaten ab, und zwar von Nutzern in Israel, Türkei, Iran, Griechenland, Armenien, Frankreich und Deutschland. Ihm zufolge blockte Twitter bereits am 20. Dezember seine Bemühungen – und nicht erst am 24. Dezember, wie es nun in Twitters Stellungnahme heißt.

Laut TechCrunch versäumte des der Forscher, Twitter direkt über seine Erkenntnisse zu informieren, was wahrscheinlich ein Grund dafür ist, dass das Unternehmen in seiner Pressemitteilung nicht auf die Beteiligung des Forschers eingeht. Der Forscher will stattdessen über eine WhatsApp-Gruppe einige der Betroffenen, darunter hochrangige Politiker, selbst informiert haben.

Für Twitter ist es nicht der erste Datenverlust. In den vergangenen Monaten räumte das Unternehmen beispielsweise ein, dass über einen Zeitraum von fünf Jahren private Tweets von Android-Nutzern öffentlich zugänglich waren. Zudem nutzte das Unternehmen für eine Zwei-Faktor-Authentifizierung hinterlegte Telefonnummern versehentlich für Werbezwecke. Im Dezember 2019 sollen sich zudem Hacker über ein Support-Formular Zugang zu Daten von Twitter-Nutzern verschafft haben.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Was macht Check Point als attraktiver Arbeitgeber aus?

Kim Forsthuber von Checkpoint erklärt, wie sie zum Security-Anbieter gekommen ist und was sie an…

4 Stunden ago

Android-Malware Rafel RAT aufgedeckt

Bösartiges Tool wird für Spionage, Fernzugriff, Datenklau und Ransomware verwendet. Check Point-Sicherheitsforscher beobachten Angriffe in…

6 Stunden ago

US-Regierung verhängt Verkaufsverbot gegen Kasperskys Antivirensoftware

Es tritt bereits im Juli in Kraft. Ab Ende September wird auch der Wiederverkauf von…

8 Stunden ago

Beta 3 von Android 15: Google stellt neue Sicherheitsfunktionen vor

Android 15 erreicht den Meilenstein Platform Stability. Die neue OS-Version verbessert die Implementierung von Passkeys…

24 Stunden ago

Apple entwickelt Hochsicherheits-OS für seine KI-Rechenzentren

Es soll die Grundlage für die Sicherheitsfunktion Private Compute Cloud bilden. Diese wiederum soll die…

1 Tag ago

Google schließt schwerwiegende Sicherheitslöcher in Chrome

Sie stecken unter anderem in der JavaScript Engine V8. Betroffen sind Chrome für Windows, macOS…

1 Tag ago