Twitter moet bij het instellen van tweefactorauthenticatie (2FA) niet verplichten dat gebruikers hun telefoonnummer afstaan, zoals nu het geval is. Dat stelt de Amerikaanse burgerrechtenbeweging EFF naar aanleiding van het nieuws dat Twitter voor 2FA verkregen telefoonnummers voor advertenties gebruikte.

Volgens de EFF probeert Twitter het incident te bagatelliseren. Zo wordt het aantal getroffen gebruikers en de duur dat de telefoonnummers werden gebruikt niet vermeld. Ook is het onduidelijk om welke telefoonnummers het precies gaat. Naast het gebruik van telefoonnummers voor tweefactorauthenticatie vraagt Twitter ook bij het deblokkeren van geblokkeerde accounts om een telefoonnummer. Mogelijk dat ook deze nummers voor advertentiedoeleinden zijn gebruikt.

Een ander kritiekpunt van de EFF is de wijze waarop Twitter tweefactorauthenticatie implementeert. De microbloggingdienst biedt wel verschillende opties, zoals sms-codes, een beveiligingssleutel of authenticator-app, maar in alle gevallen moet de gebruiker zijn telefoonnummer opgeven, ook al wordt dit nummer bij verschillende opties niet voor het 2FA-proces gebruikt.

"Daardoor moeten gebruikers die 2FA-beveiliging nodig hebben een onnodige en pijnlijke keuze maken tussen het opgeven van een belangrijke beveiligingsfeature of het prijsgeven van hun privacy", zegt Gennie Gebhart van de EFF. De burgerrechtenbeweging wil dan ook opheldering van Twitter wat er nu precies is gebeurd en vraagt om 2FA-methodes waarbij gebruikers hun telefoonnummer niet aan Twitter hoeven te geven.