黑客3万美元出售540万推特账号数据。

7月21日，有名为devil的黑客在暗网论坛以3万美元的价格出售一个包含5485636个推特账号的数据库。Devil称数据库中包含各类用户的账号信息，包括名人、公司和随机用户。

该漏洞应该是2022年1月1日Restore Privacy通过HackerOne向推特提交的漏洞，该漏洞允许任何第三方在没有经过认证的情况下，只需要提交一个手机号码或邮箱就可以获取手机号码或邮箱对应的推特ID（相对于推特账户的用户名）。而根据隐私设置，这一操作是不允许的。该漏洞存在于推特安卓客户端使用的授权机制中，具体来说就是检查推特账户是否重复的过程中。

但Devil称其从未使用过HackerOne。其尝试提交邮箱地址和手机号以确定是否关联推特账户时，获得了该账户的ID。通过账户ID，其抓取了其余公开数据来创建该用户的个人介绍信息。

该漏洞与2021年黑客爬取Facebook 5.33亿用户数据非常类似，推特已于2022年1月13日修复。截止目前，推特尚未确认此次数据泄露事件。推特称正在调查事件的真实性。检查最新的数据来验证所谓数据泄露事件的真实性，并确保问题账户的安全性。

BleepingComputer通过黑客分享的少量样本数据成功验证了推特用户，至少证明了样本数据中的隐私信息（邮箱地址和手机号码）是正确的。

虽然出售的数据大多是公开的，但攻击者利用其中的邮箱地址和手机号码可以发起定向钓鱼攻击。因此建议所有推特用户在收到来自推特的邮件时要非常注意，小心钓鱼邮件，尤其是要求输入登录凭证时要确认域名是Twitter.com。

参考及来源：https://www.bleepingcomputer.com/news/security/hacker-selling-twitter-account-data-of-54-million-users-for-30k/