ผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเผยที่อยู่อีเมลที่ลิงก์กับโปรไฟล์ทวิตเตอร์กว่า 200 ล้านโปรไฟล์ถูกปล่อยในฟอรัมของแฮ็กเกอร์ใต้ดิน และข้อมูลที่รั่วไหลเหล่านี้ดูเหมือนสามารถระบุตัวตนที่แท้จริงของผู้ใช้ทวิตเตอร์ที่ไม่เปิดเผยชื่อได้ และทำให้อาชญากรเข้ายึดบัญชีทวิตเตอร์หรือกระทั่งบัญชีในเว็บไซต์อื่นๆ ของเหยื่อได้ง่ายขึ้น
จากการตรวจสอบสิ่งที่แสดงบนฟอรัมของแฮ็กเกอร์ใต้ดินของผู้เชี่ยวชาญด้านการรักษาความปลอดภัยระบุว่า บันทึกจำนวนมากที่รั่วไหลยังรวมถึงชื่อผู้ใช้ทวิตเตอร์ การจัดการบัญชี จำนวนผู้ติดตาม และวันที่สร้างบัญชี
เอลอน กัล ผู้ร่วมก่อตั้งฮัดสัน ร็อก บริษัทติดตามการรักษาความปลอดภัยทางไซเบอร์ของอิสราเอล ชี้ว่า การละเมิดครั้งนี้อาจนำไปสู่การแฮ็ก การฟิชชิ่งแบบกำหนดเป้าหมาย และการด็อกซิ่งหรือการจงใจปล่อยข้อมูลส่วนตัวของบางคนบนโลกออนไลน์ เขายังบอกว่า นี่เป็นการรั่วไหลของข้อมูลครั้งใหญ่ที่สุดครั้งหนึ่งเท่าที่เคยเจอมา
ทวิตเตอร์ไม่ได้แสดงความคิดเห็นใดๆ กับข่าวนี้ที่เกลโพสต์ครั้งแรกเมื่อวันที่ 24 ธันวาคม และไม่ชัดเจนว่า ทวิตเตอร์ได้ดำเนินการใดๆ แล้วหรือไม่เพื่อสอบสวนหรือแก้ไขปัญหานี้
ราฟี เมนเดลซอห์น โฆษกไซอาบรา บริษัทวิเคราะห์ด้านโซเชียลมีเดียที่มุ่งเน้นการระบุพฤติกรรมการให้ข้อมูลเท็จทางออนไลน์ ระบุว่า อาชญากรถูกแจ็คพ็อตใหญ่ เพราะข้อมูลส่วนตัวก่อนหน้านี้ เช่น อีเมล การจัดการและวันที่สร้างสามารถนำไปใช้ในการเจาะระบบ ฟิชชิ่ง และเผยแพร่ข้อมูลเท็จอย่างลึกล้ำและซับซ้อนมากขึ้น
รายงานบางฉบับชี้ว่า ข้อมูลที่รั่วไหลครั้งนี้ถูกรวบรวมในปี 2021 ผ่านบั๊กในระบบของทวิตเตอร์ ซึ่งบริษัทเพิ่งแก้ไขเรียบร้อยในปี 2022 หลังเหตุการณ์ในเดือนกรกฎาคมที่บัญชีผู้ใช้ทวิตเตอร์ 5.4 ล้านบัญชีรั่วไหลและทำให้บริษัทตระหนักถึงความเสี่ยงนี้
ทรอย ฮันต์ นักวิจัยด้านการรักษาความปลอดภัยและผู้ก่อตั้งเว็บไซต์แจ้งเตือนการละเมิด Have I Been Pwned เปิดเผยเมื่อวันพฤหัสฯ (5) ว่า การวิเคราะห์ข้อมูลที่รั่วไหลล่าสุดพบที่อยู่อีเมลกว่า 200 ล้านรายการ และก่อนหน้านั้นวอชิงตัน โพสต์รายงานว่า ฟอรัมที่แสดงข้อมูลนี้โฆษณาว่า มีข้อมูลบัญชีผู้ใช้ 235 ล้านบัญชี
ที่น่าเป็นห่วงอีกอย่างคือ จำนวนพนักงานที่ลดฮวบของทวิตเตอร์ภายหลังอีลอน มัสก์ เข้าเทคโอเวอร์เมื่อปลายปีที่แล้ว อาจส่งผลต่อความสามารถของบริษัทในการรับมือภัยคุกคามด้านความปลอดภัย
นักวิจัยด้านการรักษาความปลอดภัยเตือนว่า จากระดับการรั่วไหลของข้อมูลครั้งนี้อาจเปิดโอกาสให้ผู้ประสงค์ร้ายหรือรัฐบาลเผด็จการเชื่อมโยงการจัดการทวิตเตอร์ที่ไม่เปิดเผยตัวตนกับชื่อจริงหรือที่อยู่อีเมลของเจ้าของบัญชี ซึ่งอาจเป็นผู้ต่อต้านรัฐบาล นักข่าว หรือผู้ใช้ที่มีความเสี่ยงอื่นๆ ทั่วโลก
จอห์น สก็อตต์-เรลตัน นักวิจัยด้านการรักษาความปลอดภัยของซิติเซน แล็บ มหาวิทยาลัยโทรอนโตในแคนาดา ชี้ว่า สำหรับผู้ใช้เหล่านั้น นี่ถือเป็นการล่วงละเมิดอันเป็นผลตามมา
ข้อมูลบัญชีเหล่านั้นมีค่าสำหรับแฮ็กเกอร์ที่สามารถนำไปใช้ในการรีเซ็ตรหัสผ่านใหม่และเข้ายึดบัญชี โดยเฉพาะอย่างยิ่งสำหรับผู้ที่ใช้ข้อมูลประจำตัวชุดเดียวทั้งสำหรับบัญชีทวิตเตอร์และบริการดิจิตอลอื่น ๆ เช่น ธนาคาร การจัดเก็บข้อมูลบนคลาวด์ เนื่องจากแฮ็กเกอร์สามารถใช้ข้อมูลที่รั่วไหลนี้เปิดเข้าไปในบัญชีอื่นๆ ของผู้ใช้
บัญชีผู้ใช้ทวิตเตอร์ที่มีการรับรองตัวตนที่รั่วไหลหรือผู้ใช้ที่มีผู้ติดตามจำนวนมากเป็นเป้าหมายที่มีค่าอย่างยิ่ง เนื่องจากเจ้าของบัญชีเหล่านั้นอาจเป็นเซเลบที่มีอิทธิพลอย่างมากหรือมีความเสี่ยงที่จะถูกกรรโชกทรัพย์
เพื่อป้องกันตัวเองจากฟิชชิ่ง นักวิจัยด้านการรักษาความปลอดภัยแนะนำให้ผู้ใช้อินเทอร์เน็ตใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับบริการออนไลน์แต่ละรายการ และคอยติดตามโดยใช้โปรแกรมการจัดการรหัสผ่านดิจิตอล นอกจากนี้ยังควรใช้การรับรองความถูกต้องโดยใช้หลายปัจจัยสำหรับแต่ละบัญชี และระมัดระวังเมื่อเปิดอีเมลหรือลิงก์ที่ไม่ได้ร้องขอ
จากแพลตฟอร์มข่าวการรักษาความปลอดภัยทางไซเบอร์ BleepingComputer ที่อ้างว่าได้ตรวจสอบข้อมูลที่รั่วไหลเหล่านี้ ระบุว่า ข้อมูลที่ถูกปล่อยรอบล่าสุดดูเหมือนชุดข้อมูลที่รั่วไหลที่โฆษณาบนฟอรัมของแฮ็กเกอร์เมื่อเดือนพฤศจิกายนที่ประกอบด้วยบันทึก 400 ล้านรายการ แต่ตัดบันทึกบางส่วนที่ซ้ำกันออกไป
รายงานข่าวข้อมูลรั่วไหลครั้งนี้อาจเพิ่มความเสี่ยงด้านกฎหมายและกฎระเบียบสำหรับทวิตเตอร์
เดือนธันวาคม คณะกรรมาธิการคุ้มครองข้อมูลของไอร์แลนด์ ซึ่งเป็นที่ตั้งสำนักงานใหญ่ประจำยุโรปของทวิตเตอร์ ระบุว่า กำลังตรวจสอบการรั่วไหลของข้อมูลของทวิตเตอร์ในเดือนกรกฎาคม 2022 ว่า อาจเป็นการละเมิด GDPR ซึ่งเป็นกฎหมายความเป็นส่วนตัวที่สำคัญของยุโรปหรือไม่
ฤดูร้อนปีที่แล้ว เพเทอร์ มัดจ์ แซตโก อดีตหัวหน้าทีมรักษาความปลอดภัยของทวิตเตอร์ ยื่นรายงานเปิดโปงทวิตเตอร์ต่อรัฐบาลสหรัฐฯ กล่าวหาแพลตฟอร์มโซเชียลมีเดียแห่งนี้เพิกเฉยต่อความเสี่ยงด้านความปลอดภัยในองค์กรมายาวนาน
แซตโกอ้างว่า จุดอ่อนด้านการรักษาความปลอดภัยของทวิตเตอร์สะท้อนการละเมิดพันธะสัญญาที่มีผลผูกพันของทวิตเตอร์ต่อคณะกรรมาธิการการค้าของรัฐบาลกลางสหรัฐฯ (FTC) ซึ่งถือเป็นการกระทำผิดขั้นรุนแรง ทว่า ทวิตเตอร์โต้แย้งคำกล่าวหานี้มาโดยตลอด
เหตุการณ์ไม่พึงประสงค์ที่เกิดขึ้นต่อเนื่องในทวิตเตอร์ทำให้บริษัทต้องทำข้อตกลงยินยอมกับ FTC นับจากปี 2011 ในการปรับปรุงสถานะการรักษาความปลอดภัยทางไซเบอร์ และการละเมิดข้อตกลงนี้อาจทำให้บริษัทถูกปรับ ถูกตั้งข้อจำกัดทางธุรกิจ และแม้แต่ลงโทษผู้บริหารบางคน
เดือนพฤศจิกายน เจ้าหน้าที่ระดับสูงของทวิตเตอร์ที่รับผิดชอบด้านความเป็นส่วนตัวและการรักษาความปลอดภัยหลายคนพากันลาออก ไม่กี่วันหลังจากที่มัสก์ประกาศว่า ได้เข้าซื้อบริษัทแล้วและมีการลอยแพพนักงานครั้งใหญ่