Vào tháng 1/2022, Twitter nhận được một báo cáo về một lỗ hổng trong hệ thống, nếu ai đó gửi địa chỉ email hoặc số điện thoại đến hệ thống của Twitter, hệ thống của Twitter sẽ cho người đó biết tài khoản Twitter nào mà các địa chỉ email hoặc số điện thoại được liên kết. Điều này làm lộ thông tin ID Twitter của người dùng ngay cả khi họ đã cấm hành động này trong phần cài đặt riêng tư. 

Một nhà nghiên cứu bảo mật đã gửi báo cáo lỗ hổng này thông qua chương trình tiền thưởng lỗi của Twitter. Hiện người này đã được thưởng 6.000 USD sau khi tiết lộ lổ hổng. 

Theo báo cáo, lỗ hổng bảo mật gây ra “mối đe dọa nghiêm trọng” và có thể được sử dụng để “tạo cơ sở dữ liệu người dùng Twitter”. Lỗi này lặp lại tương tự giống với lỗ hổng vào năm 2019, cho phép một nhà nghiên cứu bảo mật khớp 17 triệu số điện thoại với tài khoản Twitter. 

Theo thông báo vào 5/8 của Twitter, sau khi phát hiện ra lỗ hổng thì họ đã ngay lập tức điều tra và sửa nó. Vào thời điểm đó, họ không nhận được bất cứ thông tin nào cho thấy ai đó đã lợi dụng lỗ hổng bảo mật. 

Tuy nhiên trước khi nhà nghiên cứu gửi báo cáo lỗi thì hacker đã khai thác lỗ hổng để tạo cơ sở dữ liệu địa chỉ email và số điện thoại của 5,4 triệu tài khoản Twitter. 

Vào tháng 7, họ biết được vụ việc thông qua một bài báo nói rằng ai đó đang chào bán thông tin mà người này đã tổng hợp, sau khi xem xét một mẫu dữ liệu nhỏ được hacker chia sẻ, Twitter cũng đã xác nhận các thông tin người dùng là chính xác và nói rằng kẻ xấu đã lợi dụng kẽ hở khi vấn đề bảo mật chưa được giải quyết.

Kẻ rao bán dữ liệu dùng nickname là "devil", người này cho biết số dữ liệu này bao gồm thông tin về nhiều tài khoản khác nhau bao gồm cả người nổi tiếng, công ty và người dùng ngẫu nhiên, yêu cầu ít nhất 30.000 USD cho cơ sở dữ liệu.

Twitter cho biết: “Chúng tôi sẽ thông báo trực tiếp cho chủ sở hữu tài khoản mà chúng tôi có thể xác nhận đã bị ảnh hưởng bởi vấn đề này”, sau đó cảnh báo người dùng không nên cài đặt công khai số điện thoại hoặc địa chỉ email vào tài khoản.

Đây là sự cố bảo mật mới nhất xảy ra với Twitter trong những năm gần đây. Vào tháng 5, Twitter đã phải trả 150 triệu USD cho Ủy ban Thương mại Liên bang vì lý do công ty sử dụng số điện thoại và địa chỉ email của người dùng làm mục tiêu quảng cáo.