He estudiado algunos de los datos en los archivos pastebin, y llegué a las siguientes conclusiones:
- Las contraseñas probablemente no provienen directamente de Twitter. Twitter almacena todas las contraseñas de forma “hash”, lo que significa que no puede convertirlas fácilmente a una contraseña. He visto contraseñas en el archivo que tenían más de 12 caracteres. Las contraseñas como esa tardan mucho en descifrarse.
- Las contraseñas no provenían de una base de datos completamente no relacionada donde los usuarios solo tenían las mismas contraseñas y funcionaban en Twitter. Hay demasiadas cuentas de spam en los archivos, y las cuentas de spam normalmente no se registran en varios sitios web, sin mencionar el uso de las mismas contraseñas.
- No es un volcado de una base de datos de “autenticación básica” muy antigua (anterior a OAuth (2010)), ya que hay algunas cuentas muy nuevas en el volcado.
Especulaciones:
- Podrían provenir de una base de datos que contiene información de cuentas de spam, posiblemente porque las están vendiendo. Definitivamente explicaría la cantidad de cuentas de spam, solo que no las celebridades.
- Un certificado SSL podría haber sido falsificado y colocado en un proxy entre Twitter y los usuarios, robando las contraseñas de xAuth. De nuevo, poco probable.
- La arquitectura real de Twitter podría haber filtrado los datos. Probablemente sea muy poco probable, pero no imposible.
- Un sitio de terceros que usa xAuth podría haber estado usando una conexión no encriptada para usuarios de terceros. Esto permitiría a un atacante interceptar las contraseñas, pero eso no explica las cuentas de spam.
No puedo sacar una conclusión, tendrás que esperar la declaración oficial de Twitter. Pero espero que esto (más o menos) responda a su pregunta.
- ¿Por qué se extiende ampliamente el rumor de que los sistemas Linux no pueden ser pirateados? ¿Hasta qué punto es verdad?
- ¿Podría codificarse el binario de un software para enviar una alerta a un tercero remoto si un usuario intenta descompilarlo?
- ¿Cómo uso Python para hackear?
- ¿Aprender demasiados lenguajes de programación es contraproducente?
- ¿Se requiere programación para estar en el campo de la informática forense?
