Forscher missbraucht Twitter-API und erhält Nutzernamen und Telefonnummern

Twitter meldet einen weiteren Sicherheitsvorfall. Nicht näher genannte Dritte haben offenbar eine offizielle Programmierschnittstelle (Application Programming Interface, API) missbraucht, um Telefonnummern und Namen von Twitter-Nutzern zusammenzuführen. Auf die unerlaubten API-Zugriffe wurde Twitter bereits am 24. Dezember aufmerksam.

Zu dem Zeitpunkt schaltete Twitter nach eigenen Angaben ein Netzwerk aus gefälschten Twitter-Konten ab, das für den Missbrauch verantwortlich war. Die Konten waren dem jetzt veröffentlichten Untersuchungsbericht zufolge auf mehrere Länder verteilt. Auffallend viele Anfragen kamen demnach jedoch von IP-Adressen aus Iran, Israel und Malaysia. Twitter schließt zudem nicht aus, dass einige dieser IP-Adressen mit staatlich unterstützten Hackern in Verbindung stehen.

Die fragliche Programmierschnittstelle wird eigentlich benutzt, um neu registrierten Nutzern zu helfen, weitere Twitter-Mitglieder in ihrem Adressbuch aufzuspüren, und zwar anhand ihrer Telefonnummer. Die Funktion deckt allerdings nur Konten ab, bei denen die Option zur Auffindbarkeit per Telefonnummer aktiviert wurde. Von dem Vorfall nicht betroffen sind selbstverständlich auch alle Nutzer, die keine Telefonnummer in ihrem Twitter-Konto hinterlegt haben.

„Nach unserer Untersuchung nahmen wir sofort eine Reihe von Änderungen an diesem Endpunkt vor, so dass er auf Anfragen keine spezifischen Kontonamen mehr zurückgeben konnte. Darüber hinaus haben wir jedes Konto gesperrt, von dem wir glauben, dass es diesen Endpunkt ausgenutzt hat“, teilte Twitter nun mit.

Öffentlich gemacht hatte den Vorfall TechCrunch bereits am 24. Dezember. Demnach wurde der Bug von einem Forscher namens Ibrahim Balic entdeckt, der nach eigenen Angaben 17 Millionen Telefonnummern zu Twitter-Konten zugeordnet haben soll. Zu diesem Zweck lud er Listen mit generierten Telefonnummern zu Twitter hoch, die dann anschließend die Namen von Twitter-Nutzern lieferten.

Dem Bericht zufolge akzeptiert Twitter keine Adressbücher mit fortlaufenden Telefonnummern, um einen Missbrauch zu verhindern. Diese Sicherheitsfunktion umging der Forscher, indem er die von ihm generierten Telefonnummern vor dem Upload zufällig sortierte.

Die rund 17 Millionen Paare aus zufälligen Telefonnummern und echten Twitter-Konten rief der Forscher über einen Zeitraum von zwei Monaten ab, und zwar von Nutzern in Israel, Türkei, Iran, Griechenland, Armenien, Frankreich und Deutschland. Ihm zufolge blockte Twitter bereits am 20. Dezember seine Bemühungen – und nicht erst am 24. Dezember, wie es nun in Twitters Stellungnahme heißt.

Laut TechCrunch versäumte des der Forscher, Twitter direkt über seine Erkenntnisse zu informieren, was wahrscheinlich ein Grund dafür ist, dass das Unternehmen in seiner Pressemitteilung nicht auf die Beteiligung des Forschers eingeht. Der Forscher will stattdessen über eine WhatsApp-Gruppe einige der Betroffenen, darunter hochrangige Politiker, selbst informiert haben.

Für Twitter ist es nicht der erste Datenverlust. In den vergangenen Monaten räumte das Unternehmen beispielsweise ein, dass über einen Zeitraum von fünf Jahren private Tweets von Android-Nutzern öffentlich zugänglich waren. Zudem nutzte das Unternehmen für eine Zwei-Faktor-Authentifizierung hinterlegte Telefonnummern versehentlich für Werbezwecke. Im Dezember 2019 sollen sich zudem Hacker über ein Support-Formular Zugang zu Daten von Twitter-Nutzern verschafft haben.