Fuite massive sur X: près de 2,9 milliards de comptes compromis selon un pirate

Le réseau social X, anciennement Twitter, serait au cœur de l’une des plus vastes fuites de données jamais enregistrées dans l’histoire des médias sociaux. Un pirate connu sous le pseudonyme ThinkingOne affirme avoir mis la main sur une base de données contenant les informations de 2,87 milliards de comptes. Ces données, publiées sur le forum BreachForums, suscitent de vives inquiétudes quant à leur utilisation à des fins malveillantes, notamment pour des campagnes de phishing ciblé à grande échelle.

D’après les révélations, cette base pèserait plus de 400 Go et contiendrait des informations détaillées sur les comptes, telles que les identifiants d’utilisateur, les noms d’affichage, les descriptions de profil, les paramètres de localisation, les historiques de nom, les statistiques d’abonnés, et les sources des derniers tweets. L’ensemble constituerait un aperçu très précis de l’activité des comptes Twitter de 2021 à 2025, même si une partie de ces comptes appartiendrait à des bots, des spams ou des profils désactivés.

Le pirate suggère que cette fuite massive aurait pu être causée par un ancien employé licencié à l’époque de la restructuration menée par Elon Musk, trois ans plus tôt. Après avoir tenté, sans succès, de contacter les dirigeants de X pour les alerter, ThinkingOne aurait décidé de publier les données en ligne. Il affirme qu’aucun signe ne montre que l’entreprise est au courant de ce qu’il qualifie de « plus grande violation des réseaux sociaux de tous les temps ».

Ce fichier a été enrichi à partir d’une autre fuite survenue en 2022, qui avait déjà exposé les données de 209 millions d’utilisateurs. À l’époque, Twitter avait minimisé l’incident, en expliquant qu’il s’agissait uniquement de données publiques obtenues par des outils de scraping. Cependant, la faille exploité alors permettait de lier un numéro de téléphone ou une adresse e-mail à un compte, compromettant ainsi l’anonymat des utilisateurs.

Aujourd’hui, ThinkingOne déclare avoir croisé les deux ensembles de données pour générer un fichier CSV de 34 Go non compressé (9 Go compressé), contenant 201 millions d’entrées fusionnées. Ce fichier inclut notamment le nom d’utilisateur, l’identifiant, l’adresse e-mail, la localisation, la photo de profil, et d’autres métadonnées sensibles, rendant les utilisateurs particulièrement vulnérables à des arnaques personnalisées.

Dans un entretien accordé à Forbes, le pirate, qui se définit comme un passionné de données, affirme que cette fuite est sans doute la plus importante jamais vue sur un réseau social, en termes de volume d’utilisateurs touchés. Il n’exclut pas que la personne à l’origine de cette violation puisse également détenir d'autres informations sensibles, telles que des mots de passe ou des numéros de téléphone.

Les chercheurs de Safety Detectives ont vérifié l’authenticité d’une partie de la base de données. En examinant un échantillon de 100 comptes, ils ont confirmé que les informations correspondaient bien à ce qui est affiché publiquement sur X, et que plusieurs adresses e-mail étaient valides. Malgré la gravité de ces révélations, X n’a toujours pas réagi officiellement.