Um hacker afirma ter roubado dados privados de 400 milhões de usuários do Twitter por meio de um bug em uma API. O hacker vende os dados em um fórum após corrigir o bug da API.
O hacker, que se autodenomina Ryushi, postou os dados online no BreachForums. Ele ou ela afirma que se trata de dados de 400 milhões de usuários únicos do Twitter. Os conjuntos de dados incluem os endereços de e-mail e números de telefone desses usuários, juntamente com seu nome de usuário e outras informações públicas, como contagem de seguidores. Ryushi compartilha alguns exemplos de usuários conhecidos, incluindo políticos, executivos corporativos e influenciadores como Linus do Linus’ Tech Tips.
Ryushi diz que os dados foram extraídos de uma API. Esse bug da API já deveria ter sido corrigido. O hacker diz contra o Bleeping Computer que foi o mesmo bug que vazou anteriormente 5,4 milhões de dados de usuários. Isso foi possível por meio de um bug no cliente Android que permite ao invasor fazer uma solicitação POST à ​​API de integração do Twitter. Essa vulnerabilidade já foi fechada, mas já houve vários grupos de hackers que exploraram o bug e roubaram dados. No entanto, nunca houve tantos usuários como agora.
O hacker quer vender os dados através de um intermediário no BreachForums. Ryushi diz que quer US$ 200 mil pelos dados. Com essa venda exclusiva, os dados serão posteriormente removidos do fórum. Caso contrário, o hacker quer US$ 60.000 por compra não exclusiva. Ryushi diz que acessou o Twitter para fazer um acordo, mas não foi ouvida.