Die Daten von über 200 Millionen Nutzer:innen von Twitter stehen im Darknet zum Verkauf. Der Preis: Kryptogeld im Wert von zwei US-Dollar. Sie stammen aus einer ehemaligen Schwachstelle in der Twitter-API und sollen Ende 2021 geklaut worden sein, berichtet die Washington Post.

Erst dachte man, niemand habe die Schwachstelle ausgenutzt. Jetzt ist es schon der x-te Verkauf von Nutzer:innendaten aus dieser Quelle. Neuerdings kann man aber sehr leicht herausfinden, ob man betroffen ist.

Die Kontodaten, darunter Telefonnummern und E-Mail-Adressen, stehen in einem Hacking-Forum zum Verkauf. Kriminelle könnten sie für Social-Engineering-Angriffe auf Unternehmen nutzen, indem sie Angestellte mit Phishingmails aufs Glatteis führen.

Außerdem befürchten Expert:innen, dass Menschen, die Twitter zur anonymen Kritik nutzen, aufgedeckt werden könnten. Gerade Kritiker:innen von mächtigen Personen oder Regimes drohe dadurch Verhaftung oder Schlimmeres. Zudem steigt das Risiko von Identitätsdiebstählen.

Immer mehr Datensätze aus Schwachstellen gelangen seit letztem Jahr an die Öffentlichkeit. Zunächst ging es um 5,4 Millionen Datensätze, die den Käufer 30.000 Dollar kosten sollten. Seit November fliegen sie kostenlos im Netz herum. Dazu kommen weitere 17 Millionen aus der gleichen Schwachstelle.

Zuletzt war von 400 Millionen Datensätzen die Rede, für die Elon Musk 200.000 Dollar bezahlen sollte. Daraus sollen auch die Daten aus dem aktuellen Paket stammen. Der Nutzer namens Ryushi warnte vor DSGVO-Bußgeldern, die auf ihn sonst zukommen würden. Er verweist auf Facebook; das Unternehmen musste Strafen in Höhe von 265 Millionen Euro wegen 533 Millionen gescrapter Nutzer:innen bezahlen. Tatsächlich hat die irische Datenschutzbehörde bereits wegen dem 5,4-Millionen-Leak Ermittlungen angekündigt.

Kürzlich hat „Have I Been Pwnded“ (engl. „Bin ich aufgedeckt worden“) das Twitter-Leck in seine Datenbank übernommen. So kann jeder Mensch nachprüfen, ob er oder sie betroffen ist. Dazu muss man nur die Seite aufrufen und die betreffende E-Mail-Adresse eingeben. Das Tool checkt zusätzlich weitere zwölf Milliarden aufgedeckte Accounts von 644 gehackten Plattformen auf Übereinstimmung.