Un bug sur Twitter a révélé des millions de numéros de téléphone d'utilisateurs

Un chercheur en sécurité a pu exploiter un bug dans l'application Android de Twitter pour identifier des millions d'utilisateurs, en reliant leurs numéros de téléphone à leurs identifiants Twitter. Cet exploit pourrait révéler des failles dans le système d'authentification à deux facteurs de l'entreprise et inciter les autres développeurs de solutions de sécurité à s'interroger.

Selon unTechCrunchrapport, le chercheur,Ibrahim Balic, a créé des listes aléatoires de numéros de téléphone et les a envoyées à Twitter.

« Si vous téléchargez votre numéro de téléphone, il récupère en retour les données de l’utilisateur », a-t-il déclaré.

Les données des utilisateurs ont permis à Balic de trouver les numéros de téléphone de nombreuses « célébrités » importantes de Twitter, y compris le numéro privé d'un « haut responsable politique israélien ».

« Dès que nous avons pris connaissance de ce bug, nous avons suspendu les comptes utilisés pour accéder de manière inappropriée aux informations personnelles des utilisateurs. La protection de la Politique de confidentialité et de la sécurité des utilisateurs de Twitter est notre priorité ONE et nous restons déterminés à mettre fin rapidement aux spams et aux abus provenant de l'utilisation des API de Twitter », a déclaré un porte-parole de Twitter.

Le bug a exposé des comptes utilisateurs lorsque Balic a téléchargé des millions de numéros de téléphone et a demandé à Twitter de les associer à des utilisateurs. Cette interface est généralement utilisée uniquement lorsque de nouveaux utilisateurs installent l'application sur leur téléphone, mais grâce à un ensemble d'appels API, Balic a pu usurper ce comportement. La violation de la Politique de confidentialité qui en a résulté, consistant à associer de vrais numéros à de véritables identifiants Twitter, pourrait réduire l'efficacité des systèmes d'authentification à deux facteurs, répandus sur les applications et portefeuilles financiers.

Image via Shutterstock.