Gen 13, 2023 Dario Orlandi Leaks, News, RSS, Vulnerabilità 0

Twitter ha finalmente risposto alle richieste di chiarimenti circa un archivio che associava centinaia di milioni di indirizzi di posta elettronica con i corrispondenti account del social network.

L’esistenza di questo archivio è stata annunciata all’inizio del 2023 e il file è stato poi messo in vendita su un forum dedicato a un prezzo bassissimo (l’equivalente di circa 2 dollari Usa).

Il post con cui è stato messo in vendita l’archivio degli indirizzi (Fonte: BleepingComputer)

Nella sua risposta, pubblicata naturalmente su Twitter, l’azienda ha affermato di non aver trovato prove che il set di indirizzi e-mail e numeri di telefono sia stato ottenuto sfruttando una vulnerabilità nei suoi sistemi.

We were recently made aware of reports that Twitter user data was being sold online. After a comprehensive investigation, we found no evidence that this data originated from the exploitation of our systems. Read more here: https://t.co/4LnVG6gzae

— Twitter Support (@TwitterSupport) January 11, 2023

La società ha confermato una precedente violazione che ha coinvolto 5,4 milioni di utenti, causata da una vulnerabilità risolta nel gennaio 2022, ma ha negato che questa vulnerabilità sia stata sfruttata per ottenere l’ultimo set di dati trapelato all’inizio di questo mese.

Non è colpa nostra

“Il dataset da 200 milioni non può essere correlato con l’incidente precedentemente segnalato o con qualsiasi dato proveniente da una violazione dei sistemi Twitter”, è stata la dichiarazione dell’azienda, che ha poi aggiunto: “Nessuno dei set di dati analizzati conteneva password o informazioni che potrebbero portare alla compromissione delle password”.

Secondo l’azienda, il nuovo archivio è probabilmente una raccolta di dati già pubblicamente disponibili online attraverso diverse fonti.

Twitter non è però riuscita a spiegare nella dichiarazione di oggi come i dati siano stati collegati agli indirizzi e-mail associati ai loro account.

Anche grazie al bassissimo prezzo dell’archivio, diversi ricercatori e servizi hanno potuto acquistarlo e hanno verificato l’effettiva accuratezza delle informazioni riportate.

Il breach è stato aggiunto anche all’archivio del servizio Have I been pwned; chi volesse verificare se il proprio account è stato coinvolto in questa violazione può sfruttare gli strumenti disponibili attraverso la homepage del servizio, che offre strumenti per testare singoli account e interi domini.