Votre compte Twitter secret n’est peut-être plus secret

Quelqu’un a mis la main sur ces données et les vend en ligne.

Si vous avez un compte Twitter secret, nous avons de mauvaises nouvelles pour vous.

Vendredi, Twitter a divulgué des informations sur une faille de sécurité qui a permis à quelqu’un de savoir si une adresse e-mail ou un numéro de téléphone spécifique est lié à un compte Twitter existant.

« En janvier 2022, nous avons reçu un rapport via notre programme de primes de bogues concernant une vulnérabilité dans les systèmes de Twitter. En raison de la vulnérabilité, si quelqu’un soumettait une adresse e-mail ou un numéro de téléphone aux systèmes de Twitter, les systèmes de Twitter indiqueraient à la personne quel compte Twitter les adresses e-mail ou le numéro de téléphone soumis étaient associés, le cas échéant », a écrit la société dans un article de blog vendredi.

Cela signifie que, si vous aviez l’adresse e-mail ou le numéro de téléphone de quelqu’un, vous pourriez facilement savoir si un compte Twitter était lié à cette adresse ou à ce numéro. Supposons que vous ayez l’adresse d’Elon Musk et que vous ayez vérifié cela, et que vous vous soyez rendu compte qu’il avait un compte différent de celui sur lequel il tweete habituellement – boum, vous venez de trouver son compte secret. Pas génial pour quiconque voulait tweeter de manière anonyme et/ou privée.

La vulnérabilité était le résultat de la mise à jour du code de Twitter en juin 2021, et Twitter dit qu’il a « immédiatement » enquêté et corrigé. À l’époque, Twitter dit qu’il n’a aucune preuve suggérant que quelqu’un a profité de la vulnérabilité.

Mais une fenêtre de sept mois au cours de laquelle la vulnérabilité était « en direct » semble avoir été suffisamment longue pour que quelqu’un le découvre et essaie d’en tirer profit. Twitter dit qu’en juillet 2022, il « a appris d’un article de presse » que quelqu’un avait rassemblé ces informations et essayait de les vendre en ligne. Twitter a examiné un échantillon des données et s’est rendu compte que cette personne vendait effectivement la vraie chose.

Le rapport de presse auquel Twitter fait référence est probablement celui de Bleeping Computerqui a écrit qu’un pirate vendait des données liées à 5,4 millions d’utilisateurs de Twitter pour 30 000 $ en ligne.

Twitter indique qu’il informera directement les propriétaires de comptes concernés. Si vous êtes l’un d’entre eux, vous ne pouvez pas faire grand-chose à ce stade, à part ne pas utiliser un numéro de téléphone ou une adresse e-mail connus la prochaine fois que vous créerez un compte secret.