Twitterから流出したとみられる約2億件のデータについてまとめてみた - piyolog

2023年1月5日以降、2億件を超えるTwitterアカウントのデータを公開したと主張する投稿がハッカーフォーラムで行われていたことを複数の報道機関が報じました。*1ここでは関連する情報をまとめます。 自分が影響を受けたのかを確認するには 約2億件のデータに自分のメールアドレスが含まれているか（影響対象か）はHave I been pwnedを使って確認することが可能。 メールアドレス入力後に「pwned?」をクリックし、「Twitter (200M)」と表示された場合は、今回のデータに含まれている。（それ以外のリークに含まれていた場合は別のリーク情報も表示される。） メールアドレスがリークデータに含まれていた場合にTwitter (200M)が表示。 Twitter APIの脆弱性より流出したデータと主張 Twitter APIに第三者が他人のアカウント情報を取得できる脆弱性が2021年

[taruhachi]

メールアドレス漏洩確認サイトにメールアドレスを入力したくないので手元で生成したメールアドレスのハッシュ値で照合してくれる確認サイトが欲しい。

[Windfola]

メールアドレスからTwitterID検索する仕組みが元々あった→アプデで許可してないユーザも検索可能な脆弱性→別サービスで流出済みのメールアドレスリストで検索かけTwitterIDと紐付いた分を販売→誰かが公開　という流れか

[ot2sy39]

「影響対象かはHave I been pwnedを使って確認可能」とあるが、この手の確認サイトは公式が立てないと。今回のサイトが怪しいかは知らんが、こういう確認サイトは使うべきではないという風潮を醸成するべき。

[zakusun]

メール入力したくないと一瞬思ったけど自分が入力しなくても誰かが入力することもできるしメアド自体は晒すものなので問題ないと理解した。IMEIやIPと紐づけ気になるが変わるのでそもそも紐づける事に意味がない。

[twatw]

Have I Been Pwnedは歴史長めで、政府機関との協力実績もあるからまぁメアドぐらいなら入力しても心配ないだろうぐらいの信頼感

[saikyo_tongaricorn]

もうこういうのやめーや "このプライバシー設定に関わらず利用者を特定することが出来てしまっていた。"

[chocomintice660]

Have I been pwned、パスワードの方はK-Anonimityで実装してたけどアドレスの方もそうだったかな / 1PasswordのWatch TowerもHIBPがバックエンドっぽいよ https://1password.com/haveibeenpwned/

[ene0kcal]

こういうサービス毎にメールアドレス違うのを作ってるワイの勝ち！お陰で管理しているアドレスが100を超えてますﾜﾗｰ

[Cru]

なんとまあ、ビンゴだよ……。面倒くさいが過去の流出に紐づいてるのね。同一pw以外も全部変えるかぁ…。他の使い回しも解消せんとな。／Googleアカウントにも警告されちゃったよ…

[kz78]

自分のメールアドレスチェックしたけどtumblerがむかし漏らしたやつしかヒットしなかった。

[kenzy_n]

サービス毎にIDも一意化していくか

[anoncom]

直接漏れたわけじゃなく、既に漏れてたアドレスや電話番号からアカウントをAPIの脆弱性を使って照会してマッピングさせたリストが出回った。ってことか

[hatetesan]

20230107 [Twitter][Privacy]

[tmatsuu]

いろんなサイトに登録しているメールアドレスを `username+YYYYMMDD@example.com` とかにして毎日自動更新、いつ情報漏洩したかわかるようにしてくれるbot誰か作ってくれないかな

[ostchanman]

裏アカ調査とかってこういう脆弱性を突いてやってそう（偏見）

[HiddenList]

ネットで不測な事態になると　まとめてくれださる　いつものブログさん

[adsty]

約２億件とは被害規模が大き過ぎる。

[wdoomer]

やってみるか

[spark7]

Have I been pwnedを怪しいと言うのはセキュリティ意識の高まりなのか無知なのか。/ アドレスもパスワードもサービス毎に変えてるので漏れても心配はしない。

[worthlesswaste]

既にスパム届きまくりのアドレスだからいいやと思いチェック。TwitterとDropboxが漏れている模様。

[BT_BOMBER]

「Have I been pwned」ザっと調べた感じ信頼できそうだけど、このやり方、個人情報収集に使われる手法でもあるよな／マスク買収後に二段階認証のバグだか障害だかの話聞いたけど…

[Falky]

なんでこれ今さら騒がれてるのかよくわかってないんだけど、まあいいか。一部の報道だと電話番号漏れてるって言われてたけど、そこは限定的なん？よくわからんな//自分的には電話番号以外すべて公開情報なのでOK

[ayumun]

ツイッター用のメアド元々公開してるから別になあ

[imaginaration]

件のサイトでメアド調べたらtwitter以外にも流出してたわ…（）

[hatomugicha]

どっかに公開しているメールアドレスでもないしこのサイトに渡したくないから頭文字でいけるかと思ったけどダメっぽい

[sander]

それ以前に流出してたわｗｗｗ

[yamadar]

自分のアカウントは当選してました。一応パスワード変えておくかな

[nyokkori]

Twitterから漏れても眼鏡美人をフォローしてる事が明るみに出るだけで別に困らない。 好きな人も眼鏡美人だし。

[John_Kawanishi]

今回の流出には含まれてはなかったか

[lbtmplz]

Have I been pwnedが流出したら終わりだな

[ochikun]

メールアドレス収集サイト

[timetrain]

リンク先の素性が怖かったけど思い切ってアドレス入れてみた。一応セーフ、だったが

[zentarou]

裏アカは裏メルアドで作ろうね

[civicpg]

pwned?流失してた時→「お前のメルアドはもう知ってる」流出してない時→「お前のメルアドを覚えた」

[kiyo_hiko]

HIBP見たが大丈夫そう。

[monotonus]

メアドはTwitter専用だしまあええか

[Hagalaz]

大丈夫だった　ますますTwitter離れが進みそうね