Twitter漏洞讓駭客取得用戶電話與郵件位址

上個月有人在Breached Forums駭客論壇上兜售540萬名Twitter用戶的資料，包括其電話號碼與電子郵件帳號，售價3萬美元，Twitter上周五（8/5）證實了此事，並說造成該批資料外洩的漏洞早在今年初就修補，只是當時不知該漏洞已遭濫用。

根據Twitter的說明，它們是在今年1月透過抓漏獎勵專案得知該平臺有一個安全漏洞，若有使用者於Twitter系統上輸入電話號碼或是電子郵件帳號，系統就會告知該資訊屬於哪個帳號所有；該漏洞是在Twitter於2021年6月更新程式碼時所造成的，但在修補的當下並無證據顯示該漏洞已遭到開採。

不過，在媒體於7月揭露有人正在兜售Twitter用戶資料時，Twitter即比對了賣家所公布的資料，判斷駭客是開採了今年初所修補的漏洞。Twitter已通知了所有已知的受到波及的用戶，由於不確定遭到開採的範圍，因此發布此一通知以提醒所有用戶。

雖然駭客所兜售的僅有Twitter用戶的電話號碼或電子郵件帳號，並無密碼，但其他駭客也許可自其它的外洩資料庫找到使用者慣用的密碼，使得Twitter建議所有用戶應該啟用雙因素認證，藉由身分認證程式或硬體安全金鑰來保障自己的帳號安全，以避免自己的帳號被擅自登入。