Утечки и масштабный сбор (скрейпинг) данных пользователей Twitter (ныне X) — это серия связанных инцидентов, происходивших в результате эксплуатации уязвимостей в API платформы в период с 2021 по 2022 год (с последующим регулярным распространением баз вплоть до 2025–2026 годов).
Главная особенность этих инцидентов заключается в том, что злоумышленники использовали не классический взлом серверов компании, а скрейпинг (парсинг) данных через API с сопоставлением телефонных номеров и адресов электронной почты с конкретными аккаунтами.
📌 Хронология и масштабы инцидентов
- Июнь 2021 года: В интерфейсе API Twitter появилась уязвимость, позволявшая отправлять списки телефонных номеров и email-адресов, чтобы проверять их привязку к конкретным учетным записям.
- Январь 2022 года: Уязвимость была обнаружена и закрыта разработчиками, однако к тому моменту злоумышленники успели собрать значительные массивы информации.
- Середина 2022 года: В сети появилась база данных 5,4 миллиона аккаунтов (была выставлена на продажу).
- Конец 2022 — Январь 2023 года: Обнаружена масштабная утечка данных от 200 до 235 миллионов пользователей (крупный архив, содержащий объединенные массивы приватных контактных данных и публичных профилей).
- 2024–2025 годы: В даркнете и на хакерских форумах продолжилась циркуляция как переупакованных старых баз, так и новых массивов публичных метаданных, собранных автоматизированными методами (включая крупные компиляции объемом в миллиарды строк публичных профилей).
🔍 Какие данные оказались скомпрометированы?
- Что утекло:
- Адреса электронной почты (включая скрытые или привязанные для восстановления).
- Номера телефонов, привязанных к учетным записям.
- Публичные метаданные профилей: имена, логины (@handle), количество подписчиков, дата создания аккаунта, аватарки.
- Чего НЕ было в утечке:
- Пароли пользователей не скомпрометированы (в открытом виде или зашифрованном). Прямого доступа к управлению аккаунтами через саму эту базу у злоумышленников не появилось.
⚠️ Каковы реальные риски для пользователей?
- Деанонимизация (раскрытие личности): Наибольшую опасность утечка представляет для владельцев псевдонимных аккаунтов, активистов, журналистов или людей, скрывавших свой реальный номер телефона/email под вымышленным именем.
- Целевой фишинг (Spear Phishing) и спам: Злоумышленники используют связку «имя пользователя + реальный email/телефон» для рассылки убедительных поддельных писем или SMS от имени поддержки X (Twitter), криптовалютных мошенников или сервисов безопасности.
- Социальная инженерия и доксы: Полученные данные могут применяться для телефонного мошенничества или попыток восстановления доступа к другим сервисам через привязанный номер/почту (если на них не стояла надежная защита).
🛡️ Что делать, если вы пользовались Twitter в те годы?
- Проверьте почту / телефон: Воспользуйтесь независимым и безопасным сервисом HIBP, чтобы узнать, попали ли ваши данные из Twitter в общие базы.
- Включите двухфакторную аутентификацию (2FA): Желательно использовать приложения-аутентификаторы (Google Authenticator, Aegis, 2FAS) или аппаратные ключи безопасности, а не SMS-подтверждение (так как ваш номер телефона теперь может быть известен мошенникам).
- Будьте бдительны к письмам и SMS: Игнорируйте любые сообщения о «блокировке аккаунта» или «необходимости срочно подтвердить данные», приходящие на почту или телефон. Администрация X не запрашивает пароли и секретные коды таким путем.
- Скройте личные данные в настройках профиля: Убедитесь, что в настройках конфиденциальности вашей учетной записи X скрыта возможность поиска вас по номеру телефона и электронной почте для сторонних пользователей.