В результате взлома Authy злоумышленник получил номера телефонов 33 миллионов пользователей популярного приложения безопасности 2FA, что подвергло их повышенному риску фишинговых атак.
Разработчик Twilio подтвердил факт взлома и попросил клиентов принять две меры предосторожности…
Двухфакторная аутентификация (2FA) означает, что когда вы (или кто-то, использующий ваши учетные данные) входите на веб-сайт или в службу, вам дополнительно будет предложено ввести одноразовый код доступа, сгенерированный приложением. Authy от Twilio — одно из самых популярных приложений 2FA в App Store.
На прошлой неделе хакер заявил, что получил номера телефонов 33 миллионов пользователей Authy, и Twilio теперь подтвердила это, хотя и не уточняет количество аккаунтов.
Компания Twilio обнаружила, что злоумышленники смогли идентифицировать данные, связанные с учетными записями Authy, включая номера телефонов, благодаря неаутентифицированной конечной точке.
Мы приняли меры для защиты этой конечной точки и больше не допускаем неаутентифицированные запросы. Мы не увидели никаких доказательств того, что злоумышленники получили доступ к системам Twilio или другим конфиденциальным данным.
Разработчик просит всех пользователей обновиться до последней версии и быть внимательными к подозрительным текстовым сообщениям.
В качестве меры предосторожности мы просим всех пользователей Authy обновиться до последних версий приложений Android и iOS для получения последних обновлений безопасности. Хотя учетные записи Authy не скомпрометированы, злоумышленники могут попытаться использовать номер телефона, связанный с учетными записями Authy, для фишинговых и смишинговых атак; мы призываем всех пользователей Authy оставаться бдительными и быть более бдительными в отношении текстовых сообщений, которые они получают.
Самый большой риск здесь заключается в том, что теперь злоумышленник знает о вас три вещи:
- Ваш номер телефона
- Что вы используете 2FA
- Что вы используете Authy
Они могут использовать эту информацию для создания убедительно выглядящих текстов, например, от одного из ваших сервисов, сообщающих о проблеме с вашей двухфакторной аутентификацией и просящих вас сбросить ее. Или выдающих себя за Twilio.
TechCrunch сообщается, что этот же хакер предположительно стоит за фишинговой кампанией, в результате которой были украдены около 10 000 учетных записей сотрудников из нескольких разных компаний.
Фишинговая атака также стала причиной утечки данных Evolve, в результате которой, вероятно, была раскрыта конфиденциальная личная информация клиентов Wise и других финтех-компаний.
Это уже второй раз за последние недели, когда мы увидели уязвимость в системе безопасности компании, занимающейся кибербезопасностью, после раскрытия фотографий удостоверений личности в сервисе проверки личности, используемом многими технологическими гигантами. Разработчик приложения 2FA также находится высоко в списке компаний, которые вы действительно не хотите видеть взломанными.
Фото Филиппа Катценбергера на Unsplash
