In bepaalde gevallen hadden Twitter-applicaties toegang tot privéberichten van gebruikers, zonder dat die daarvoor toestemming hadden gegeven. Dat beweert een beveiligingsonderzoeker. Intussen zou Twitter het beveiligingsprobleem hebben opgelost.
Beveiligingsonderzoeker Cesar Cerrudo van IO-Active ontdekte dat applicaties van derden die Twitter-integratie aanboden, toegang konden krijgen tot privéberichten zonder dat een gebruiker daarvoor toestemming had gegeven. Bij het autorisatievenster dat gebruikers te zien krijgen als een applicatie toestemming probeert te krijgen, werd zelfs expliciet aangegeven dat de applicatie daar niet bij kon.
Het probleem trad alleen in bepaalde gevallen op. Allereerst moest een gebruiker een applicatie eerder al toegang tot zijn Twitter-account hebben gegeven. Daarna moest een gebruiker via die applicatie inloggen op Twitter, zonder dat hij of zij een actieve Twitter-sessie had. In dat geval kreeg de applicatie automatisch en onbedoeld toegang tot privéberichten, beweert Cerrudo.
De onderzoeker ontdekte het beveiligingsprobleem toen hij een eigen Twitter-applicatie aan het ontwikkelen was. Nadat hij het probleem ontdekte, schakelde hij het securityteam van Twitter in, dat het beveiligingsprobleem tot tevredenheid van Cerrudo binnen 24 uur oploste. De beveiligingsexpert klaagt echter over het feit dat Twitter gebruikers niet op de hoogte heeft gesteld van het potentiële privacyprobleem. Hij raadt gebruikers aan te controleren of applicaties onbedoeld toegang tot privéberichten hebben gekregen.