Twitter admite un ciberataque que compromete la seguridad de 5,4 millones de cuentas

Twitter ha confirmado un ciberataque que se ha saldado con el robo y la filtración de los datos de 5,4 millones de usuarios de la plataforma. La red social ha señalado que enviará un aviso para indicar a los afectados que ha quedado expuesta su información confidencial, aunque no ha confirmado el número. La brecha de seguridad permitía ligar una cuenta de Twitter con un número de teléfono o una dirección de correo electrónico. Con ello, puede dejar al descubierto la identidad de usuarios que utilizan la red social con seudónimo.

A principios de año, la plataforma recibió un informe a través de su programa de bugs (errores) y recompensas, gestionado por la firma HackerOne, sobre una brecha de seguridad que los estafadores podían aprovechar para acceder a los datos de sus usuarios, según explica ahora la compañía.

HackerOne es una plataforma que conecta a compañías como Twitter con piratas informáticos para que estos pongan a prueba las medidas de seguridad de la red social en busca de fallos. El objetivo es detectarlos a cambio de recompensas económicas. Durante el proceso de verificación de una cuenta duplicada, un usuario de HackerOne conocido como zhirinovskiy descubrió la vulnerabilidad en cuestión, que afectaba a la versión de Twitter para el sistema operativo Android (el que usan la mayoría de marcas de móviles, con la excepción de Apple).

La brecha de seguridad permitía que cualquier persona que introdujera una dirección de correo electrónico o un número de teléfono pudiese acceder a la correspondiente ID de Twitter, en caso de que existiese una cuenta asociada a esa cuenta de correo o teléfono. Esto hace que las personas que tienen cuentas bajo pseudónimo puedan quedar al descubierto.

Tal y como ha reconocido la firma el pasado viernes en su blog, el error del sistema fue consecuencia de una actualización de su código de seguridad, implementado en junio de 2021. Twitter puntualiza que, cuando tuvo conocimiento de este problema, lo investigó “de inmediato” y lo solucionó. “En ese momento, no teníamos evidencia de que surgiera que alguien se había aprovechado de la vulnerabilidad”, ha aclarado. Sin embargo, en julio de este año, medios especializados como RestorePrivacy, informaron sobre la recopilación y filtración de los datos de 5,4 millones de cuentas, una información que posteriormente se puso a la venta en el foro de piratería Breached Forums.

Tras revisar los datos con los que los ciberdelincuentes estaban comercializando en este foro, la red social confirmó que estos se habían aprovechado del problema existente antes de que se le diera una solución. De ese modo, la red social ha confirmado que se vulneró la privacidad de estos 5,4 millones de usuarios y ha indicado que procederá a notificarlo personalmente en los casos en que pueda confirmar que los datos se han visto comprometidos. “Publicamos esta actualización porque no somos capaces de confirmar cada cuenta que potencialmente se ha visto afectada, y estamos particularmente atentos a las personas con cuentas bajo pseudónimo que pueden verse perseguidas por Estados u otros actores”, señala la firma en su blog.

Con el objetivo de que los usuarios puedan proteger sus cuentas y blindar la información que estas integran, la compañía ha propuesto una serie de indicaciones, como habilitar la autenticación de dos factores. Con ello, ha señalado que los autores del ataque no han tenido acceso a las contraseñas de acceso. Además, ha recomendado a los dueños de cuentas anónimas que, para mantener su identidad lo más oculta posible, no las asocien a un número de teléfono o un correo electrónico “públicamente conocidos”.