Gigantisches Datenleck bei Twitter

Cyberkriminelle haben eine Schwachstelle in den IT-Systemen von Twitter ausgenutzt. Diese ermöglichte es ihnen, eine Datenbank mit Telefonnummern und E-Mail-Adressen von rund 5,4 Millionen Konten aufzubauen. Wie Bleeping Computer berichtet, standen die Daten in einem Hackerforum für 30.000 Dollar zum Verkauf.

Schwachstelle schon im Januar bekannt

Bereits im Januar 2022 war Twitter über das Bug-Bounty-Programm auf die Sicherheitslücke hingewiesen worden. Und die Lücke war äußerst brisant: Sobald sich ein User mit seiner E-Mail-Adresse oder Telefonnummer bei dem Kurznachrichtendienst anmeldete, wurde außerdem an die IT-Systeme übermittelt, mit welchem Konto die Daten verknüpft waren. Wie Twitter mitteilte, resultierte die Schwachstelle aus einer Code-Aktualisierung im Juni 2021 und wurde sofort repariert. "Zu diesem Zeitpunkt hatten wir keine Beweise dafür, dass jemand die Schwachstelle ausgenutzt hatte", schreibt Twitter in einer Stellungnahme.

Erst ein Jahr später, im Juli 2022, erfuhr der US-Konzern eigenen Angaben zufolge durch einen Pressebericht, dass jemand diese Sicherheitslücke ausgenutzt und versucht hatte, die zusammengestellten Informationen zu verkaufen. Nachdem eine Stichprobe der Daten untersucht wurde, bestätigte Twitter, dass die Sicherheitslücke von einem kriminellen Hacker ausgenutzt werden konnte, bevor sie geschlossen wurde.

Schutz vor Datenklau

"Wir werden die Kontoinhaber, von denen wir bestätigen können, dass sie von diesem Problem betroffen waren, direkt benachrichtigen", so das Unternehmen. "Wir veröffentlichen dieses Update, weil wir nicht in der Lage sind, jedes Konto zu bestätigen, das potenziell betroffen war. Wir legen dabei ein besonderes Augenmerk auf Nutzer mit pseudonymen Konten, die von staatlichen oder anderen Akteuren ins Visier genommen werden können."

Deshalb empfiehlt Twitter allen Nutzern, die Zwei-Faktor-Authentifizierung zu aktivieren, um ihre Konten vor nicht autorisierten Anmeldungen zu schützen. Usern, die mit einem Pseudonym angemeldet sind, empfiehlt das Unternehmen, dem Account keine öffentlich bekannte Telefonnummer oder E-Mail-Adresse hinzuzufügen. Bei Fragen können Nutzer sich über ein Formular an Twitters Datenschutzteam wenden.