Een onbekende partij heeft vorig jaar december een aanval op Twitter uitgevoerd waarbij gebruikersnamen aan telefoonnummers werden gematcht. De aanvaller maakte gebruik van een netwerk van een groot aantal nepaccounts die de Twitter-api gebruikten voor het matchen van gebruikersnamen aan telefoonnummers.

De api is een programmeerinterface die het eenvoudiger voor nieuwe gebruikers moet maken om Twitter-gebruikers te vinden die ze al kennen. Gebruikers geven een telefoonnummer op, waarna de api in een database naar de bijbehorende Twitter-gebruiker zoekt. Twitter-gebruikers moeten hiervoor wel hebben ingeschakeld dat ze aan de hand van hun telefoonnummer zijn te vinden, alsmede hun telefoonnummer aan hun Twitter-account hebben gekoppeld.

"Vaak heb je de beste klik met personen op Twitter die je al kent. Om je te helpen deze mensen te bereiken, gebruiken we je e-mailadres en telefoonnummer om je account vindbaar te maken voor anderen. Je kan bepalen of anderen jou op Twitter kunnen vinden op basis van je e-mailadres of telefoonnummer door je privacyinstellingen voor vindbaarheid aan te passen", aldus de uitleg van Twitter.

De nepaccounts die voor de aanval werden gebruikt bevonden zich volgens Twitter over de gehele wereld, maar een groot aantal verzoeken was afkomstig van Iraanse, Israëlische en Maleisische ip-adressen. "Het is mogelijk dat sommige van deze ip-adressen banden met door landen gesponsorde aanvallers hebben", zo stelt Twitter in een verklaring.

Na ontdekking van de aanval heeft Twitter verschillende aanpassingen aan de api doorgevoerd zodat die niet langer specifieke gebruikersnamen teruggeeft. Daarnaast zijn alle accounts die bij de aanval waren betrokken geschorst. Gebruikers die hadden ingesteld om niet via hun telefoonnummer vindbaar te zijn, zijn niet aan de aanval blootgesteld.