The Verge ·

Spoutible 曝出重大信息泄露

💡 原文英文，约300词，阅读约需2分钟。

📝

内容提要

Spoutible，一个与埃隆·马斯克收购推特相关的社交平台，其API存在漏洞，导致用户的个人信息泄露，包括电子邮件地址和电话号码。API还暴露了哈希密码，使黑客更容易破解弱密码。大约有207,000名用户的电子邮件被泄露。Spoutible已解决此问题，并建议用户更改密码和重置双因素认证。

🔎

与常见的数据抓取事件不同，Spoutible的API漏洞不仅暴露了用户的基本信息，还泄露了密码哈希和双因素认证代码。这意味着攻击者可能直接劫持账户，而用户毫无察觉。安全顾问Troy Hunt指出，尽管密码使用bcrypt哈希保护，但弱密码仍可能被破解，且平台限制密码长度，进一步降低了安全性。

根据Troy Hunt的说法，该漏洞暴露了约20.7万名用户的电子邮件地址。而据《连线》杂志2023年6月的报道，Spoutible当时拥有24万用户，这意味着近86%的用户受到影响。这种高比例表明漏洞并非孤立事件，而是平台整体安全措施的严重缺失。

Spoutible和Troy Hunt均建议用户更改密码并重置双因素认证。由于API曾返回2FA代码和密码重置令牌，攻击者可能已获取这些信息，因此仅更改密码可能不足，必须同时重置2FA。用户还应警惕账户异常活动，并考虑使用密码管理器生成强密码。

❓

根据安全顾问 Troy Hunt 的发现，黑客可以利用 Spoutible 的 API 获取用户的姓名、用户名、个人简介、电子邮件地址、IP 地址和电话号码。此外，API 还返回了用户密码的哈希版本、用于登录的双因素认证（2FA）代码以及重置密码的令牌。

大约有 207,000 名用户的电子邮件被泄露。根据《连线》杂志 2023 年 6 月的报道，Spoutible 当时拥有 240,000 名用户，因此这次泄露几乎覆盖了整个平台的用户。

Spoutible 已经修复了该漏洞，并确认没有泄露解密后的密码或私信。同时，Spoutible 和 Troy Hunt 都建议用户更改密码并重置双因素认证（2FA）。

虽然密码使用了 bcrypt 哈希保护，但短或弱的密码相对容易被破解。此外，Spoutible 阻止用户设置更长的密码，这降低了密码被破解的难度。

黑客可以通过 API 获取用于登录的双因素认证（2FA）代码和重置密码的令牌，从而轻松访问并劫持用户账户，而不会触发任何安全警报。

Spoutible 是一个在埃隆·马斯克收购推特后出现的社交平台。它作为推特的替代品之一，吸引了部分用户。

🏷️