文章总结： 2025年3月X平台（原Twitter）发生史上最大规模数据泄露，涉及28.7亿用户、427GB数据，包含用户ID、昵称、地理位置等详细信息，根源或为前员工内部泄密与API漏洞滥用。该平台自2016年起多次发生明文密码泄露、API漏洞等安全事件，建议用户为重要账户设置唯一强密码并启用双因素认证。 综合评分： 85 文章分类： 数据泄露,漏洞分析,安全建设,社会工程学

28.7亿条！X平台史上最大规模数据泄露，根源何在？

夯磅棱

2026年4月11日 09:07 北京

在小说阅读器读本章

去阅读

X（原Twitter）的用户数据安全史堪称一部“连续剧”。2025年初，一场规模空前的泄露将28.7亿用户的敏感信息推至悬崖边缘。但这并非孤例，回溯近年，从明文密码到API漏洞，从内部泄密到黑客论坛叫卖，X的数据堡垒早已千疮百孔。

主要泄露数据都是以爬虫数据为主。

2025年：创纪录的“全量批发”

如果说此前的数据泄露是“零售”，2025年3月曝光的这次事件堪称“批发”。一个宣称包含28.7亿X用户详细信息的巨型数据库在网络上出现，这很可能是社交媒体领域有史以来最大的单一泄露事件之一。

泄露的数据量高达427GB，涉及的用户记录数量惊人。具体数字对比如下：

• 宣称泄露记录数：2,873,410,842条
• 导入后总记录数：3,069,134,694条
• 数据文件总行数：3,279,342,453行

泄露的信息包罗万象，包括：

• 用户ID、昵称、个人简介

• 地理位置信息

• 账户使用语言

• 网站活动记录

• 个人网站链接

• 粉丝数量

• 账户创建日期

关于数据来源，一种流传较广的说法指向了内部。据称，这可能是由一位心怀不满的前员工，在公司大规模裁员期间所为。

更令人不安的是后续处理。化名为“ThinkingOne”的黑客声称，他曾试图就漏洞问题联系X公司，但未得到任何回应。警告被无视，最终导致了数据被公之于众。

还有一个谜团：28.7亿这个数字，远远超过了X对外公布的活跃用户数。这让人怀疑，数据库里是不是混杂了大量僵尸号、历史废弃账户，甚至是多个旧泄露数据的聚合体。

并非初犯：一部绵延十年的“泄露史”

2025年的灾难并非偶然，而是X平台长期以来数据安全问题的集中爆发。把时间线往回拉，漏洞几乎从未间断。

2016年：明文密码的噩梦

早在2016年，超过7100万用户的账户数据就被泄露了。这次的问题非常低级且致命——用户密码以明文形式存储并流出。攻击手段包括利用间谍软件，一次性就抓取了4000万账户的信息。泄露数据总量约1.07GB。

2021年：API漏洞被滥用

2021年，攻击者通过滥用X平台的一个API接口，将邮箱地址反向匹配出推特个人资料，从而构建了一个包含超过2亿条记录的数据库。这套数据在2023年初被挂在知名黑客论坛上售卖。数据包约11.57GB，包含邮箱、姓名、用户名和粉丝数。

2022年：漏洞拖延半年才修复

2022年1月，一个平台漏洞允许攻击者获取数百万用户的邮箱和电话号码。尴尬的是，根据X公司自己在8月份发布的公告，这个漏洞其实在2021年6月就引入了，直到2022年初才被发现和利用。受影响数据约3.07GB，涉及540多万条独立记录。

谁在窃取数据？动机何在？

纵观这些泄露事件，攻击者的面孔模糊却又似曾相识。

2025年事件中的“ThinkingOne”表现出一种复杂的姿态：他/她先是尝试“负责任地披露”，在碰壁后才选择公开数据。这种行为模式不像纯粹的牟利者，更像是一个想引起重视的“激进举报人”。结合“前员工泄愤”的传言，内部威胁的可能性无法排除。

而2021年数据在黑客论坛售卖，则是更典型的黑产行为。攻击者利用技术漏洞（API滥用）大规模采集数据，然后将其商品化变现。这类行为者通常以金钱为直接目的，行动隐蔽，很少与公司交涉。

至于2016年的明文密码泄露，攻击手段（间谍软件）表明这可能是一次有组织、有针对性的网络攻击，目的可能是窃取凭证，为后续更大规模的攻击（如撞库、欺诈）做准备。

这些事件反映出，X的数据面临着来自多方面的威胁：心怀不满的内部人员、追逐利益的黑客团伙、利用漏洞的自动化爬虫。而平台方迟缓的响应和修复（如2022年漏洞拖延半年），无疑为攻击者敞开了更长时间的大门。

你的信息可能早已“裸奔”

综合来看，如果一个用户自2016年之前就在使用Twitter/X，那么他/她的信息很可能在至少一次，甚至多次泄露事件中中招。风险是层层递进的：

1. 2016年泄露

   ：直接丢失明文密码。如果用户在其他平台使用相同密码，风险极高。

2. 2021-2022年泄露

   ：邮箱、电话等联系信息暴露，为精准钓鱼、社工诈骗提供了弹药。

3. 2025年泄露

   ：近乎完整的社交画像被公开。结合历史泄露数据，一个人线上行为的骨架和血肉都被拼凑完整。

安全研究人员一直建议，对于重要账户，尤其是像X这样曾发生明文密码泄露的平台，用户必须确保密码唯一且强度足够，并尽快启用双因素认证。

平台方的责任显然更大。从存储明文密码，到API设计缺陷，再到疑似内部管控失灵，X在数据保护的多个基础环节接连失守。每一次“创纪录”的泄露，都是对用户信任的一次重击。当28.7亿这个数字出现时，人们已经分不清这到底是又一次事故，还是过去所有错误的最终总和。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：夯磅棱 《28.7亿条！X平台史上最大规模数据泄露，根源何在？》