Points clés:

  • Les emails privés et les numéros de téléphone connectés des comptes de 400 millions d’utilisateurs de Twitter étaient en vente sur le marché illicite.

  • Hudson Rock a déclaré que même s’il n’a pas été possible de valider pleinement les affirmations du pirate informatique, « une vérification indépendante des données elles-mêmes semble être réelle ».

  • Étant donné qu’il y a environ 450 millions d’utilisateurs mensuels actifs, certains ont noté qu’une violation aussi massive est difficile à imaginer.

Selon certaines informations, des e-mails privés et des numéros de téléphone connectés provenant des comptes de 400 millions d'utilisateurs de Twitter étaient en vente sur le marché illicite.

Le 24 décembre, la société de renseignement sur la cybercriminalité Hudson Rock a évoqué la prétendue « menace crédible » de vendre une base de données privée contenant les coordonnées de 400 millions de comptes d'utilisateurs Twitter.

« La base de données privée contient des quantités dévastatrices d'informations, notamment des e-mails et des numéros de téléphone d'utilisateurs de premier plan tels qu'AOC, Kevin O'Leary, Vitalik Buterin et bien d'autres », a déclaré Hudson Rock.

« Dans le message, l'acteur malveillant affirme que les données ont été obtenues début 2022 en raison d'une vulnérabilité sur Twitter, et tente également d'extorquer Elon Musk pour qu'il achète les données ou fasse face à des poursuites judiciaires en vertu du RGPD. »

Compte tenu du nombre de comptes, Hudson Rock a déclaré que même s'il n'a pas été possible de valider pleinement les affirmations du pirate, « une vérification indépendante des données elles-mêmes semble être réelle ».

URGENT : Hudson Rock a découvert qu'un acteur de menace crédible vendait les données de 400 000 000 d'utilisateurs de Twitter. La base de données privée contient des quantités d'informations dévastatrices, notamment les e-mails et les numéros de téléphone d'utilisateurs de premier plan tels qu'AOC, Kevin O'Leary, Vitalik Buterin et bien d'autres (1/2). pic.twitter.com/wQU5LLQeE1

— Hudson Rock (@RockHudsonRock)    24 décembre 2022   

DeFiYield, une société de sécurité Web3, a examiné les 1 000 comptes fournis par le pirate informatique à titre d’échantillon et a confirmé que les informations étaient « authentiques ». De plus, elle a communiqué avec le pirate via Telegram, notant qu’ils attendaient avec impatience un achat sur ce site.

Si elle est confirmée, la faille pourrait représenter un risque grave pour les utilisateurs de cryptomonnaies de Twitter, en particulier ceux qui utilisent des pseudonymes.

Étant donné qu’il y a environ 450 millions d’utilisateurs actifs par mois, certains ont noté qu’une violation d’une telle ampleur est difficile à imaginer.

Au moment où nous écrivons ces lignes, le pirate présumé a toujours publié un message sur Breached proposant la base de données aux acheteurs. Un appel à l'action particulier est inclus pour qu'Elon Musk paie 276 millions de dollars pour empêcher la vente des données et une amende de l'agence de réglementation générale de la protection des données.

Musk doit payer la rançon avant que le pirate ne détruise les données et promettre de ne les vendre à personne d'autre, affirment-ils, « pour sauver de nombreux politiciens et célébrités du phishing, des fraudes cryptographiques, de l'échange de cartes SIM, du doxxing et d'autres choses ».

Le « Zero-Day Hack » sur Twitter, qui impliquait l’exploitation d’une vulnérabilité de l’interface de programmation d’application de juin 2021 avant qu’elle ne soit corrigée en janvier de cette année, serait à l’origine des données compromises en question.

Les pirates informatiques pourraient créer des bases de données qu'ils revendraient ensuite sur le dark web

En plus de cette prétendue base de données, deux autres ont également été découvertes, dont l'une compterait 5,5 millions d'utilisateurs et l'autre, jusqu'à 17 millions, selon un rapport de Bleeping Computer du 27 novembre.

Les tentatives d'hameçonnage ciblées par SMS et e-mail, les attaques par commutation de carte SIM pour accéder aux comptes et la divulgation d'informations privées sont des risques associés à la divulgation de ces informations en ligne.

Plus de 400 millions de données de comptes Twitter sont en vente, parmi lesquelles les plus importantes sont les noms d'utilisateur, les numéros de téléphone portable et les e-mails. Le pirate a pu fournir une liste d'échantillons de 1000 noms d'utilisateur, et j'ai pu en vérifier un grand nombre pic.twitter.com/qcrloExBUK

– Haseeb Awan – efani.com (@haseeb) 25 décembre 2022   

Il est recommandé aux utilisateurs d’adopter des mesures de sécurité, notamment en mettant à jour leurs mots de passe et en les stockant en toute sécurité, en utilisant un portefeuille cryptographique privé et auto-hébergé, et en s’assurant que les paramètres d’authentification à deux facteurs sont activés pour leurs multiples comptes via une application plutôt que leur numéro de téléphone.