Twitter meldet einen weiteren Sicherheitsvorfall. Nicht näher genannte Dritte haben offenbar eine offizielle Programmierschnittstelle (Application Programming Interface, API) missbraucht, um Telefonnummern und Namen von Twitter-Nutzern zusammenzuführen. Auf die unerlaubten API-Zugriffe wurde Twitter bereits am 24. Dezember aufmerksam.
Die fragliche Programmierschnittstelle wird eigentlich benutzt, um neu registrierten Nutzern zu helfen, weitere Twitter-Mitglieder in ihrem Adressbuch aufzuspüren, und zwar anhand ihrer Telefonnummer. Die Funktion deckt allerdings nur Konten ab, bei denen die Option zur Auffindbarkeit per Telefonnummer aktiviert wurde. Von dem Vorfall nicht betroffen sind selbstverständlich auch alle Nutzer, die keine Telefonnummer in ihrem Twitter-Konto hinterlegt haben.
„Nach unserer Untersuchung nahmen wir sofort eine Reihe von Änderungen an diesem Endpunkt vor, so dass er auf Anfragen keine spezifischen Kontonamen mehr zurückgeben konnte. Darüber hinaus haben wir jedes Konto gesperrt, von dem wir glauben, dass es diesen Endpunkt ausgenutzt hat“, teilte Twitter nun mit.
Öffentlich gemacht hatte den Vorfall TechCrunch bereits am 24. Dezember. Demnach wurde der Bug von einem Forscher namens Ibrahim Balic entdeckt, der nach eigenen Angaben 17 Millionen Telefonnummern zu Twitter-Konten zugeordnet haben soll. Zu diesem Zweck lud er Listen mit generierten Telefonnummern zu Twitter hoch, die dann anschließend die Namen von Twitter-Nutzern lieferten.
Dem Bericht zufolge akzeptiert Twitter keine Adressbücher mit fortlaufenden Telefonnummern, um einen Missbrauch zu verhindern. Diese Sicherheitsfunktion umging der Forscher, indem er die von ihm generierten Telefonnummern vor dem Upload zufällig sortierte.
Die rund 17 Millionen Paare aus zufälligen Telefonnummern und echten Twitter-Konten rief der Forscher über einen Zeitraum von zwei Monaten ab, und zwar von Nutzern in Israel, Türkei, Iran, Griechenland, Armenien, Frankreich und Deutschland. Ihm zufolge blockte Twitter bereits am 20. Dezember seine Bemühungen – und nicht erst am 24. Dezember, wie es nun in Twitters Stellungnahme heißt.
Laut TechCrunch versäumte des der Forscher, Twitter direkt über seine Erkenntnisse zu informieren, was wahrscheinlich ein Grund dafür ist, dass das Unternehmen in seiner Pressemitteilung nicht auf die Beteiligung des Forschers eingeht. Der Forscher will stattdessen über eine WhatsApp-Gruppe einige der Betroffenen, darunter hochrangige Politiker, selbst informiert haben.
Für Twitter ist es nicht der erste Datenverlust. In den vergangenen Monaten räumte das Unternehmen beispielsweise ein, dass über einen Zeitraum von fünf Jahren private Tweets von Android-Nutzern öffentlich zugänglich waren. Zudem nutzte das Unternehmen für eine Zwei-Faktor-Authentifizierung hinterlegte Telefonnummern versehentlich für Werbezwecke. Im Dezember 2019 sollen sich zudem Hacker über ein Support-Formular Zugang zu Daten von Twitter-Nutzern verschafft haben.
In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
Als Geldgeber sind Apple, Microsoft und Nvidia im Gespräch. OpenAI sucht angeblich frisches Geld zum…
BSI veröffentlicht IT-Sicherheitskennzeichen für mobile Endgeräte. Wirtschaft und Zivilgesellschaft konnten Kriterien dafür mit bestimmen.
Laut Bitkom-Studie beläuft sich der Gesamtschaden auf rund 267 Milliarden Euro. China werde zum Standort…
Sie erlauben unter Umständen eine Remotecodeausführung. Updates stehen für Chrome für Windows, macOS, Linux und…
Apple hat auf der WWDC einige Neuerungen für das Gerätemanagement vorgestellt. Eine Einordnung von Surendiran…
Kaspersky ermittelt einen Anstieg der Anzahl der Attacken um 23 Prozent. Anfällige Treiber lassen sich…