Twitter a révélé vendredi qu’un bogue zero-day maintenant corrigé a été utilisé pour lier les numéros de téléphone et les e-mails aux comptes d’utilisateurs sur la plate-forme de médias sociaux.

« En raison de la vulnérabilité, si quelqu’un soumettait une adresse e-mail ou un numéro de téléphone aux systèmes de Twitter, les systèmes de Twitter indiqueraient à la personne à quel compte Twitter les adresses e-mail ou le numéro de téléphone soumis étaient associés, le cas échéant », a déclaré la société. a dit dans un avis.

Twitter a dit le bogue, ce qu’il était mis au courant de janvier 2022, découle d’un changement de code introduit en juin 2021. Aucun mot de passe n’a été exposé à la suite de l’incident.

Le retard de six mois pour rendre ce public découle de nouvelles preuves le mois dernier qu’un acteur non identifié avait potentiellement profité de la faille avant le correctif pour récupérer les informations des utilisateurs et les vendre à profit sur Forums de violation.

Bien que Twitter n’ait pas révélé le nombre exact d’utilisateurs touchés, le message publié sur le forum par l’acteur de la menace montre que la faille a été exploitée pour compiler une liste contenant prétendument plus de 5,48 millions de profils de comptes d’utilisateurs.

Restaurer la confidentialité, qui divulgué la brèche à la fin du mois dernier, a déclaré que la base de données était vendue pour 30 000 $.

Twitter a déclaré qu’il était en train d’informer directement les propriétaires de comptes concernés par le problème, tout en exhortant les utilisateurs à activer l’authentification à deux facteurs pour se protéger contre les connexions non autorisées.

Le développement intervient alors que Twitter, en mai, a accepté de payer une amende de 150 millions de dollars pour régler une plainte du ministère américain de la Justice qui alléguait que la société entre 2014 et 2019 avait utilisé les informations des titulaires de compte fournies pour la vérification de sécurité à des fins publicitaires sans leur consentement.