Twitter: aanvallers hadden mogelijk toegang tot kwart miljoen accountgegevens

Bij een aanval op microblogdienst Twitter zijn mogelijk de gegevens van 250.000 accounts gestolen, zo meldt Twitter zelf. Het zou gaan om mailadressen, tokens van sessies en versleutelde wachtwoorden. Mogelijk gaat het om accounts uit 2006 en 2007.

"Deze week ontdekten we ongebruikelijk toegangspatronen die ons op het spoor brachten van ongeauthoriseerde pogingen om toegang te krijgen tot gebruikersdata van Twitter", schrijft Bob Lord, die bij Twitter verantwoordelijk is voor informatiebeveiliging. "Ons onderzoek wijst er op dat de aanvallers mogelijk toegang hadden tot een beperkt aantal gebruikersgegevens - gebruikersnamen, mailadressen, sessietokens en versleutelde en gesalte versies van wachtwoorden - van ongeveer 250.000 gebruikers."

Amerikaanse media schrijven dat vooral de eerste generatie gebruikers getroffen lijkt te zijn: tot toe lijken vooral gebruikers met accounts uit 2006 en 2007 mail van Twitter gehad te hebben. Details over de aanval geeft Twitter niet, maar het bedrijf claimt dat het niet het werk van amateurs betreft. Ook denkt de dienst dat andere bedrijven en organisaties op dezelfde wijze zijn aangevallen.

Twitter heeft de wachtwoorden van de betrokken accounts gereset en hen een mail gestuurd om ze waarschuwen. Daarnaast raadt de dienst alle gebruikers aan een sterk wachtwoord te nemen, niet dezelfde wachtwoorden voor meerdere diensten te nemen en Java in de browser uit te schakelen. Niet bekend is of Java iets met de aanval te maken heeft, of dat de Twitter-beveiligingstopman dit noemt door de golf aan recente kwetsbaarheden in Java. Twitter gebruikt overigens bcrypt om wachtwoorden te hashen, waardoor de kans klein is dat aanvallers ze binnen redelijke tijd kunnen ontsleutelen.

Reacties (23)

Een tijd terug kreeg ik wel extreem vaak password reset requests van Twitter. Deze had ik uiteraard niet aangevraagd. Wellicht dat iemand met een vergelijkbare naam zich vergist had. Maar vond het toch maar verdacht... Is wel uit zichzelf gestopt. Toch jammer dat grote sites als Twitter er niet in slagen zich volledig te beschermen...

Er ontsnappen nog steeds regelmatig gevangenen uit een gevangenis waarvan wij ook verwachten dat deze waterdicht zijn. Het is een illusie om te denken dat je data veilig zijn op het web.

Twitter heeft naar mijn mening de zaken goed op orde. Ze hebben de diefstal vrij snel ontdekt ("slechst" 250.000 van de 200.000.000 accounts zijn slachtoffer) en dit ook snel gecommuniceerd met de achterban.

Mijn account is niet getroffen. Desondanks: altijd andere wachtwoorden voor de verschillende services. Alles wat echt belangrijk is: niet op internet zetten.

Heeft twitter zo veel leden?

200 miljoen actieve gebruikers, waarschijnlijk nog veel meer accounts.
https://mobile.twitter.com/twitter/status/281051652235087872

Ja

Dit had je zelf ook voor kunnen zijn hoor want sinds enige tijd zit in twitter de optie om extra gegevens te verstrekken om een password reset aan te vragen.

Settings, account, ergens onderaan staat:
By default, you can initiate a password reset by entering only your @username. If you check this box, you will be prompted to enter your email address or phone number if you forget your password.

Ik had helaas de mail ook in de mailbox en mijn account is van maart 2007. Verhaal dat het oude accounts betreft lijkt in mijn geval te kloppen Nu gebruik ik overal een ander password maar wel vervelend dat het gebeurd.

Thanks! Weer iets geleerd .

Wilbert de Vries van Tweakers heeft hierover gesproken op het NOS journaal om 6 uur!!!

http://nos.nl/video/46970...rs-op-straat-na-hack.html

[Reactie gewijzigd door Anoniem: 325202 op 2 februari 2013 23:27]

Of deze, makkelijker: http://nos.nl/video/46970...rs-op-straat-na-hack.html

Interesant...toen ik inlogde op twitter kreeg ik een notificatie dat ik een mail van twitter had gehad, had hem nog niet bekeken omdat mijn twitter email stuurt naar mijn alternatieve email adres.

Nou ja toch maar even mijn wachtwoord veranderen...voor de zekerheid.

Nou, bingo dus: vanochtend mailtje dat mijn account gelocked is en dat ik mijn wachtwoord moet resetten.

Ja, ik had het mailtje, er was niets met de account gedaan, en hun support om het op te lossen was erg duidelijk. Niets aan de hand verder.

Ik ben het trouwens niet eens met Wilbert de Vries dat het een hack van een hoog niveau moet zijn. Want Twitter gegevens zijn gewoon waardeloos, je kunt er totaal niks mee. Misschien kan je er wat spam mee verzenden maar dat is het dan ook. Het lijkt me mee een hack van het niveau "omdat het kan" dan werkelijk waar een doelgerichte aanval op de diensten van Twitter.

Lijkt me dat "hoog niveau" slaat op de vaardigheid van de hackers. Geen scriptkiddies dus.
Wat de motivatie voor de hack was is een ander verhaal.

Ik heb een Twitter account, maar echt veel gegevens zijn daar niet aangekoppeld volgens mij. Ze vroegen zelfs mijn naam niet.

Ik heb geen twitter account en zo is inderdaad internet zo veilig als je het zelf maakt. Jammer voor iedereen die over de eigen voeten struikelde om twitter als nieuw idee te accepteren.

Jouw opmerking slaat nergens op. Het zijn accounts uit 2006 en 2007 die waarschijnlijk gehackt zijn. Nieuw zijn die niet meer dus.

die over de eigen voeten struikelde om twitter als nieuw idee te accepteren = de eerste generatie gebruikers.
Dienst online half 2006. Misschien met lichtere wachtwoord eisen in die periode.

Internet is zo veilig als je het zelf maakt.
Het kan best een veilig medium zijn.

nee domme mensen gebruiken het zelfde paswoord voor alle accounts!
email , paypall ebay marktplaats twitter. want dat is lekker makkelijk.

of gebruiken een illegale windows XP , zonder virus scanner , zonder updates en de standaard IE.......... downloaden van alles en nog wat . en vinden het gek dat ze gehacked worden....

Internet is zo veilig als de persoon die achter de pc zit. 90% van de 'hacks' maakt gebruik van social engineering en niet van hard kraakwerk.

Of draaien DOS 3.3, maar dat maakt allemaal niet uit wanneer de site waar ze al dan niet veilig naar toe gaan gehackt wordt.
Het valt mij eerlijk gezegd mee hoe weinig de grote sites, zoals Twitter, gehackt worden. Ze zullen waarschijnlijk vaak onder vuur liggen.
Netjes dat ze het direct naar buiten brengen, en de wachtwoorden kennelijk goed versleuteld hebben.

OffTopic:

Met name domme mensen en banken enzo denken dat internet veilig is.

Ooh ja, dit van jou is toegevoegde waarde!

[Reactie gewijzigd door HoeZoWie op 3 februari 2013 12:07]