Forscher missbraucht Twitter-API und erhält Nutzernamen und Telefonnummern

Twitter meldet einen weiteren Sicherheitsvorfall. Nicht näher genannte Dritte haben offenbar eine offizielle Programmierschnittstelle (Application Programming Interface, API) missbraucht, um Telefonnummern und Namen von Twitter-Nutzern zusammenzuführen. Auf die unerlaubten API-Zugriffe wurde Twitter bereits am 24. Dezember aufmerksam.

Zu dem Zeitpunkt schaltete Twitter nach eigenen Angaben ein Netzwerk aus gefälschten Twitter-Konten ab, das für den Missbrauch verantwortlich war. Die Konten waren dem jetzt veröffentlichten Untersuchungsbericht zufolge auf mehrere Länder verteilt. Auffallend viele Anfragen kamen demnach jedoch von IP-Adressen aus Iran, Israel und Malaysia. Twitter schließt zudem nicht aus, dass einige dieser IP-Adressen mit staatlich unterstützten Hackern in Verbindung stehen.

Die fragliche Programmierschnittstelle wird eigentlich benutzt, um neu registrierten Nutzern zu helfen, weitere Twitter-Mitglieder in ihrem Adressbuch aufzuspüren, und zwar anhand ihrer Telefonnummer. Die Funktion deckt allerdings nur Konten ab, bei denen die Option zur Auffindbarkeit per Telefonnummer aktiviert wurde. Von dem Vorfall nicht betroffen sind selbstverständlich auch alle Nutzer, die keine Telefonnummer in ihrem Twitter-Konto hinterlegt haben.

„Nach unserer Untersuchung nahmen wir sofort eine Reihe von Änderungen an diesem Endpunkt vor, so dass er auf Anfragen keine spezifischen Kontonamen mehr zurückgeben konnte. Darüber hinaus haben wir jedes Konto gesperrt, von dem wir glauben, dass es diesen Endpunkt ausgenutzt hat“, teilte Twitter nun mit.

Öffentlich gemacht hatte den Vorfall TechCrunch bereits am 24. Dezember. Demnach wurde der Bug von einem Forscher namens Ibrahim Balic entdeckt, der nach eigenen Angaben 17 Millionen Telefonnummern zu Twitter-Konten zugeordnet haben soll. Zu diesem Zweck lud er Listen mit generierten Telefonnummern zu Twitter hoch, die dann anschließend die Namen von Twitter-Nutzern lieferten.

Dem Bericht zufolge akzeptiert Twitter keine Adressbücher mit fortlaufenden Telefonnummern, um einen Missbrauch zu verhindern. Diese Sicherheitsfunktion umging der Forscher, indem er die von ihm generierten Telefonnummern vor dem Upload zufällig sortierte.

Die rund 17 Millionen Paare aus zufälligen Telefonnummern und echten Twitter-Konten rief der Forscher über einen Zeitraum von zwei Monaten ab, und zwar von Nutzern in Israel, Türkei, Iran, Griechenland, Armenien, Frankreich und Deutschland. Ihm zufolge blockte Twitter bereits am 20. Dezember seine Bemühungen – und nicht erst am 24. Dezember, wie es nun in Twitters Stellungnahme heißt.

Laut TechCrunch versäumte des der Forscher, Twitter direkt über seine Erkenntnisse zu informieren, was wahrscheinlich ein Grund dafür ist, dass das Unternehmen in seiner Pressemitteilung nicht auf die Beteiligung des Forschers eingeht. Der Forscher will stattdessen über eine WhatsApp-Gruppe einige der Betroffenen, darunter hochrangige Politiker, selbst informiert haben.

Für Twitter ist es nicht der erste Datenverlust. In den vergangenen Monaten räumte das Unternehmen beispielsweise ein, dass über einen Zeitraum von fünf Jahren private Tweets von Android-Nutzern öffentlich zugänglich waren. Zudem nutzte das Unternehmen für eine Zwei-Faktor-Authentifizierung hinterlegte Telefonnummern versehentlich für Werbezwecke. Im Dezember 2019 sollen sich zudem Hacker über ein Support-Formular Zugang zu Daten von Twitter-Nutzern verschafft haben.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

EU-Parlament stimmt für „Recht auf Reparatur“

Die Abgeordneten verabschieden den Entwurf einer Entschließung für einen nachhaltigen Binnenmarkt. Verbraucher sollten künftig schon…

5 Minuten ago

Avantree Aria Me: Bluetooth-Kopfhörer mit individueller Klanganpassung und Mikrofon

Das Highlight des Over-Ear-Kopfhörers Aria Me von Avantree ist die Möglichkeit zur indivduellen Klanganpassung. Das…

13 Stunden ago

Chrome erlaubt das Ausführen von Befehlen über die die Adressleiste

Die Chrome Actions ersetzen das Aufrufen bestimmter Befehle über das Menü. Per Eingabe in die…

14 Stunden ago

Bericht: Microsoft bringt Android-Apps auf Windows-Desktops

Sie halten angeblich Einzug in den Microsoft Store. Die neue Funktion soll im Lauf des…

15 Stunden ago

AWS-Störung betrifft Tausende Online-Dienste

Ursache ist ein Fehler im AWS-Datendienst Kinesis. Er wirkt sich auch auf interne Systeme von…

17 Stunden ago

Forscher entdeckt zufällig Zero-Day-Lücke in Windows 7 und Server 2008

Sie erlaubt eine nicht autorisierte Ausweitung von Benutzerrechten. Neuere Windows-Versionen sind nicht betroffen. Der Forscher…

19 Stunden ago