Es ist ein ewiger Wettstreit: Während Unternehmen kontinuierlich darauf hinarbeiten, die eigenen Systeme vor digitalen Angreifern zu schützen, suchen Cyberkriminelle nach Wegen, die Sicherheitsmaßnahmen zu umgehen oder diese zu durchbrechen. Diesmal haben die Hacker gewonnen. Und nun müssen sich knapp 5,5 Millionen Twitter-Anwender mit gestohlenen Nutzerdaten und den daraus resultierenden Konsequenzen herumschlagen. Das bestätigt nun auch Twitter selbst und gibt eine unerwartete Empfehlung.
Durchschnittsnutzer, Prominente, Unternehmen – alle sind betroffen
Die gestohlenen Daten werden vor mehreren Wochen in einem Hackerforum angeboten, wie das Portal Bleeping Computer berichtet. Anbieter ist dabei der Nutzer „devil“ der exakt 5.485.636 Datensätze entwendet haben will. Die Daten sollten dabei unter anderem auch private Telefonnummern und E-Mail-Adressen von Prominenten, Unternehmen sowie nicht zuletzt normalen Twitter-Anwendern umfassen und bereits im Dezember 2021 abgerufen worden sein. Kostenpunkt: 30.000 US-Dollar.
Nun meldet sich auch Twitter zu Wort und bestätigt den Datenabfluss offiziell. In einem Blogbeitrag berichtet das US-Unternehmen, Dritte hätten eine Sicherheitslücke ausgenutzt und anhand von E-Mail-Adressen sowie Telefonnummern die dazugehörigen Twitter-Accounts ausfindig machen können. Auf diese Weise konnten einerseits Konten, die unter Pseudonymen geführt wurden, aufgedeckt werden. Andererseits konnten unbekannten E-Mail-Adressen und Telefonnummern konkrete Namen zugeordnet werden.
Nach Angaben des Portals Restore Privacy handelt es sich bei der Sicherheitslücke, die die Hacker ausnutzten, um eine bereits Anfang Januar von der Ethical-Hacker-Organisation HackerOne entdeckte Schwachstelle. Etwa 13 Tage nach ihrer Entdeckung schloss Twitter diese und belohnte den Sicherheitsforscher, der die Schwachstelle aufspürte, mit 5.040 US-Dollar. Allerdings existierte die Sicherheitslücke zu diesem Zeitpunkt bereits seit etwa sieben Monaten, wie der Mikroblogging-Dienst selbst eingestand.
- Auch interessant: Schockierender Selbstversuch: Nutzerdaten-Check im Darknet
Was können Betroffene tun?
Grundsätzlich gibt es nicht sonderlich viel, was Betroffene tun können. Die Nutzer, die mit absoluter Sicherheit von dem Datenabgriff betroffen sind, informiert Twitter einzeln. Doch es besteht keine Garantie dafür, dass sämtliche betroffenen Anwender bekannt sind.
Da keine Passwörter entwendet wurden, bringt der obligatorische Austausch von Zugangsdaten nicht viel. Dennoch empfiehlt Twitter, die sogenannte Zwei-Faktor-Authentifizierung (2FA) einzurichten. Ferner sollen Nutzer, die Wert auf Anonymität legen, künftig davon absehen, bekannte Telefonnummern oder E-Mail-Adressen mit dem Twitter-Konto zu verknüpfen.
Auch solltest du in den kommenden Wochen und Monaten verstärkt auf verdächtige E-Mails und Anrufe achten. Denn Kriminelle können die gestohlenen Kontaktdaten beispielsweise für gezieltes Phishing verwenden.
