Twitter的安卓应用出漏洞 “1700万电话号码与账户匹配”

[钉科技编译] Twitter是世界上最受欢迎的社交媒体平台之一，每天都有众多用户使用，他们不仅与其他Twitter用户分享日常生活，而且还与平台本身分享有关自己的重要数据。

据《techcrunch》消息，一名名叫Ibrahim Balic（此前因为 2013 年发现影响苹果开发者中心的安全漏洞而知名）安全研究员日前表示，他通过利用Twitter Android应用中的一个漏洞将1700万个电话号码跟Twitter用户的账号户匹配了起来。

Balic发现可以通过Twitter的联系人上传功能上传生成的完整的电话号码列表。换言之，如果用户在Twitter上上传了自己的电话号码那么平台就会获取用户数据。Twitter的联系人上传功能不接受连续格式的电话号码列表，这可能就是为了阻止上面的这种匹配。Balic一个接一个生成了20多亿个电话号码，然后随机分配这些号码并通过Android应用将它们上传到Twitter上，基于web的上传功能中不存在这个漏洞。在两个月时间里，他匹配了以色列、土耳其、伊朗、希腊、亚美尼亚、法国和德国用户的记录。不过，在Twitter于12月20日对这一漏洞做出反应之后他停止了这种行为。

对此，Twitter发言人表示，公司正在努力确保不让这个漏洞再次遭到利用。

在过去的一年里，Twitter已经发生多起安全事故。今年 5 月份，Twitter承认向一个合作伙伴提供了账户位置数据，即使用户选择不共享他们的数据。今年 8 月，该公司表示，无意中向其广告合作伙伴提供了更多的数据。就在上个月，推特证实它使用用户提供的电话号码进行双重认证来提供定向广告。（钉科技编译，消息来源：https://techcrunch.com/2019/12/24/twitter-android-bug-phone-numbers/）