近日，一個(gè)包含超過(guò)2億Twitter用戶數(shù)據(jù)的文件在一個(gè)流行的黑客論壇上發(fā)布，價(jià)格約為2美元。 目前，已經(jīng)證實(shí)了泄露中列出的諸多用戶數(shù)據(jù)的有效性。

自2022年7月22日以來(lái)，攻擊者一直在各種在線黑客論壇和網(wǎng)絡(luò)犯罪市場(chǎng)上出售和流轉(zhuǎn)大量的Twitter用戶資料，其中包括私人（電話號(hào)碼和電子郵件地址）和公共數(shù)據(jù)。

這些數(shù)據(jù)集是在2021年利用Twitter的API漏洞創(chuàng)建的，該漏洞允許用戶輸入電子郵件地址和電話號(hào)碼，以確認(rèn)它們是否與Twitter ID相關(guān)。

然后，攻擊者利用另一個(gè)API抓取該ID的公共Twitter數(shù)據(jù)，并將這些公共數(shù)據(jù)與私人電子郵件地址/電話號(hào)碼相結(jié)合，創(chuàng)建完整的Twitter用戶檔案。

雖然Twitter在2022年1月修復(fù)了這個(gè)漏洞，但最近多個(gè)攻擊者開(kāi)始免費(fèi)泄露他們一年前收集的數(shù)據(jù)集。

第一個(gè)540萬(wàn)用戶的數(shù)據(jù)集在7月以3萬(wàn)美元的價(jià)格出售，并最終在2022年11月27日免費(fèi)發(fā)布。另一個(gè)據(jù)稱包含1700萬(wàn)用戶數(shù)據(jù)的數(shù)據(jù)集也在11月私下流轉(zhuǎn)。

最近，一個(gè)威脅行為者開(kāi)始出售一個(gè)數(shù)據(jù)集，他們聲稱該數(shù)據(jù)集包含4億份Twitter資料。

2億Twitter用戶資料被公開(kāi)

今天，一名攻擊者在Breached黑客論壇上發(fā)布了一個(gè)由2億條Twitter用戶資料組成的數(shù)據(jù)集，僅需要該論壇的8個(gè)貨幣價(jià)值約2美元，即可下載。

據(jù)稱，這個(gè)數(shù)據(jù)集與11月流傳的4億個(gè)數(shù)據(jù)集相同，但經(jīng)過(guò)清理，去掉重復(fù)的數(shù)據(jù)，總數(shù)減少到約2億條。這些數(shù)據(jù)是以RAR檔案的形式發(fā)布的，包括六個(gè)文本文件，總大小為59GB的數(shù)據(jù)。

文件中的每一行都代表一個(gè)Twitter用戶和他們的數(shù)據(jù)，其中包括電子郵件地址、姓名、網(wǎng)名、關(guān)注人數(shù)和賬戶創(chuàng)建日期，如下圖所示。

目前已經(jīng)能夠確認(rèn)許多列出的Twitter個(gè)人資料是正確的，但整個(gè)數(shù)據(jù)集并沒(méi)有得到確認(rèn)。此外，該數(shù)據(jù)集并非完整，因?yàn)橛性S多用戶沒(méi)有被發(fā)現(xiàn)在此次泄漏中。判斷個(gè)人信息是否在這個(gè)數(shù)據(jù)集中，高度取決于你的電子郵件地址是否在以前的數(shù)據(jù)泄露中被曝光。

BleepingComputer工作人員第一時(shí)間就這一泄露的數(shù)據(jù)聯(lián)系了Twitter，但目前并沒(méi)有得到回復(fù)。

參考來(lái)源：https://www.bleepingcomputer.com/news/security/200-million-twitter-users-email-addresses-allegedly-leaked-online/