Il 4 gennaio su un noto forum di criminali informatici è stato pubblicato, per pochi spiccioli, un archivio con i dati di oltre 200 milioni di account Twitter. Tolti i doppioni, gli indirizzi email unici sono circa 211 milioni.
Per ogni account ci sono nome, nome utente, numero di follower, data di creazione e l’indirizzo email usato per la registrazione. Password non ce ne sono. Tutto è pubblico tranne l’email, ed è proprio questo il valore dell’archivio: il collegamento tra un profilo e la persona che lo gestisce.
L’origine è nota. Tra giugno 2021 e gennaio 2022 un’API di Twitter permetteva di inviare un indirizzo email o un numero di telefono e sapere a quale account fosse associato, anche se l’utente aveva scelto di non essere trovabile. Diversi gruppi hanno interrogato il sistema con enormi elenchi di email arrivate da altre violazioni. Twitter ha corretto la falla a gennaio 2022, ma una parte dei dati era stata venduta nell’estate successiva. Ora è a disposizione di quasi chiunque.
Uno pseudonimo che non regge più
Il rischio più serio riguarda chi usa Twitter con un nome di fantasia per una buona ragione: giornalisti, attivisti, persone che segnalano illeciti. Se hanno registrato l’account con un’email personale, oggi possono essere identificati. Per tutti gli altri il pericolo è più banale ma molto concreto. Un’email che sembra arrivare da Twitter e riporta il tuo nome utente corretto è molto più credibile di un messaggio generico, e incrociando l’archivio con vecchie password trapelate altrove qualcuno proverà ad accedere ai profili.
Puoi controllare se la tua email è nell’archivio con un servizio pubblico di verifica delle violazioni, che lo ha già indicizzato. Attiva l’autenticazione a due fattori con un’app o una chiave di sicurezza, usa una password unica, e quando ricevi avvisi su presunti problemi con l’account arriva al sito digitando l’indirizzo. Se gestisci un profilo che deve restare anonimo, dagli un indirizzo dedicato che non compaia da nessun’altra parte.
Se invece sviluppi API, questa storia è un promemoria: limita le richieste, e non restituire mai una risposta che confermi l’esistenza di un account partendo da un’email o da un numero.
