Dugaan Ratusan Juta Data Pengguna Diretas, Twitter Sebut Tidak Ada Bukti

Techverse.asia - Sebuah database yang diposting online mengklaim mengungkapkan lebih dari 200 juta nama pengguna dan alamat email Twitter terkait. Sekarang, beberapa hari setelah laporan awal, Twitter mengatakan kumpulan data tidak dapat dikorelasikan dengan insiden yang dilaporkan sebelumnya atau data apa pun yang berasal dari eksploitasi sistem Twitter.

Menurut laporan dari peneliti keamanan dan outlet media termasuk BleepingComputer, kredensial dalam kebocoran tersebut dikumpulkan dari sejumlah pelanggaran Twitter sebelumnya sejak tahun 2021. Namun, menurut Twitter, “tidak ada bukti bahwa data yang baru-baru ini dijual diperoleh oleh mengeksploitasi kerentanan sistem Twitter.”

Pernyataannya membahas informasi dalam kumpulan data hanya dengan mengatakan jika data tersebut kemungkinan merupakan kumpulan data yang sudah tersedia untuk umum secara online melalui berbagai sumber. Berikut isi pernyataan Twitter merespons dugaan kebocoran data pengguna tersebut.

Twitter:

5,4 juta akun pengguna yang dilaporkan pada bulan November ternyata sama dengan yang diekspos pada Agustus 2022.
400 juta contoh data pengguna dalam dugaan pelanggaran kedua tidak dapat dikorelasikan dengan insiden yang dilaporkan sebelumnya, atau dengan insiden baru apa pun.
Kumpulan data 200 juta tidak dapat dikorelasikan dengan insiden yang dilaporkan sebelumnya atau data apa pun yang berasal dari eksploitasi sistem Twitter.
Kedua kumpulan data itu sama, meskipun yang kedua memiliki entri duplikat yang dihapus.
Tak satu pun dari kumpulan data yang dianalisis berisi kata sandi atau informasi yang dapat menyebabkan kata sandi disusupi.

"Ini adalah salah satu kebocoran paling signifikan yang pernah saya lihat," kata Alon Gal, salah satu pendiri perusahaan keamanan siber Israel Hudson Rock, dalam sebuah posting yang menjelaskan data di LinkedIn.

“(Itu) sayangnya akan menyebabkan banyak peretasan, phishing yang ditargetkan, dan doxxing,” ujar Alon. Kumpulan data tidak mengandung kata sandi, seperti yang ditunjukkan oleh para ahli dan Twitter, tetapi alamat email masih bisa sangat berguna bagi peretas yang menargetkan akun tertentu.

Sementara itu, Troy Hunt, pencipta situs peringatan keamanan siber Have I Been Pwned, juga menganalisis pelanggaran tersebut dan membagikan kesimpulannya di Twitter. Ia mencuitkan, 'menemukan 211.524.284 alamat email unik, tampaknya seperti yang digambarkan.' Pelanggaran sekarang telah ditambahkan ke sistem Have I been Pwned, artinya siapa pun dapat mengunjungi situs tersebut dan memasukkan alamat email mereka untuk melihat apakah itu termasuk dalam database.

Perkiraan jumlah pasti pengguna yang terkena dampak pelanggaran bervariasi, sebagian karena kecenderungan pembuangan data skala besar seperti itu untuk menyertakan catatan duplikat. Tangkapan layar dari database yang dibagikan oleh BleepingComputer menunjukkan bahwa itu berisi sejumlah file teks yang mencantumkan alamat email dan nama pengguna Twitter yang ditautkan serta nama asli pengguna (jika mereka membaginya dengan situs), jumlah pengikut mereka, dan tanggal pembuatan akun.

BleepingComputer mengatakan telah mengonfirmasi validitas banyak alamat email yang tercantum dalam kebocoran dan bahwa database tersebut dijual di satu forum peretasan hanya dengan $2 atau Rp30 ribuan.

Asal usul database tampaknya ditelusuri kembali ke tahun 2021, berdasarkan laporan The Washington Post, ketika peretas menemukan kerentanan dalam sistem keamanan Twitter. Cacat tersebut memungkinkan peretas untuk mengotomatiskan pencarian akun — memasukkan alamat email dan nomor telepon secara massal untuk melihat apakah mereka terkait dengan akun Twitter.

Twitter mengungkapkan kerentanan ini pada Agustus 2022, dengan mengatakan telah memperbaiki masalah tersebut pada Januari tahun itu setelah dilaporkan sebagai bug bounty. Perusahaan mengklaim pada saat itu tidak memiliki bukti yang menunjukkan bahwa seseorang telah memanfaatkan kerentanan tersebut, tetapi pakar keamanan dunia maya telah melihat database kredensial Twitter untuk dijual pada bulan Juli tahun itu.

Perusahaan juga mengatakan bahwa penyelidikannya menunjukkan bahwa sekitar 5,4 juta akun pengguna telah terungkap pada November. Itu tampaknya menjadi satu-satunya kumpulan data yang dikaitkan dengan kerentanan berusia bertahun-tahun, yang tidak diperhatikan oleh Twitter selama kira-kira tujuh bulan.

Pelanggaran tersebut hanyalah bencana keamanan siber terbaru yang memengaruhi Twitter, yang telah lama berjuang untuk melindungi data penggunanya. Perusahaan tersebut telah diselidiki oleh Uni Eropa (UE) atas pelanggaran tersebut (berdasarkan laporan pertama pada Juli 2022) dan sedang diselidiki oleh FTC untuk penyimpangan keamanan yang serupa.

Agustus lalu, mantan kepala keamanan Twitter menjadi whistleblower di perusahaan, Peiter "Mudge" Zatko, mengajukan keluhan kepada pemerintah AS di mana dia mengklaim bahwa perusahaan tersebut menutupi "kekurangan yang mengerikan" dalam pertahanan keamanan sibernya.