На прошлой неделе хакер заявил, что украл 33 миллиона номеров телефонов от американского гиганта сообщений Twilio. Во вторник Twilio подтвердил TechCrunch, что "угрозы" смогли идентифицировать номера телефонов людей, использующих Authy, популярное приложение двухфакторной аутентификации, принадлежащее Twilio.
В сообщении на известном форуме хакер или хакеры, известные под ником ShinyHunters, написали, что они взломали Twilio и получили номера мобильных телефонов 33 миллионов пользователей.
Представитель Twilio Кари Рамирез рассказала TechCrunch, что компания "выявила, что угрозы смогли идентифицировать данные, связанные с учетными записями Authy, включая номера телефонов, из-за неаутентифицированной конечной точки. Мы приняли меры для защиты этой конечной точки и больше не разрешаем неаутентифицированные запросы."
"У нас нет данных о том, что угрозы получили доступ к системам Twilio или другим чувствительным данным. В качестве предосторожности мы просим всех пользователей Authy обновиться до последних версий приложений для Android и iOS для получения последних обновлений безопасности и призываем всех пользователей Authy проявлять бдительность и повышенное внимание к атакам через фишинг и смс-спам", - написала Рамирез в письме.
Twilio также опубликовала предупреждение на своем официальном сайте в понедельник, включая тот же самый комментарий.
Свяжитесь с нами
Есть больше информации об этом инциденте Twilio/Authy? С нерабочего устройства можно связаться с Лоренцо Франчески-Биккьери безопасно через Signal по номеру +1 917 257 1382, или через Telegram, Keybase и Wire @lorenzofb, или по электронной почте. Вы также можете связаться с TechCrunch через SecureDrop.Получение списка номеров телефонов, само по себе, может не казаться самым опасным из утечек данных, но все же может представлять угрозу для владельцев этих номеров.
"Если злоумышленники могут перечислить список номеров телефонов пользователей, то эти злоумышленники могут притвориться Authy/Twilio перед этими пользователями, увеличивая правдоподобность в атаке фишингом на этот номер телефона", - сказала TechCrunch Рейчел Тобак, эксперт по социальной инженерии и генеральный директор SocialProof Security.
Тобак пояснила, что теперь хакеры могут специально нацелиться на людей, которых они знают, что они пользователи Authy, давая злоумышленникам шанс сделать так, чтобы их злонамеренные сообщения действительно приходили от Authy и Twilio.
В 2022 году Twilio столкнулась с более крупным взломом данных, когда группа хакеров получила доступ к данным более 100 компаний-клиентов. Затем хакеры запустили широкомасштабную кампанию фишинга, что привело к краже около 10 000 учетных данных сотрудников как минимум 130 компаний. В рамках этого взлома на тот момент Twilio сказал, что хакеры успешно нацелились на 93 отдельных пользователей Authy и смогли зарегистрировать дополнительные устройства в учетных записях этих жертв Authy, позволяя им эффективно красть реальные двухфакторные коды.
Обновлено, 12:52 по восточному времени: Эта история была исправлена для уточнения того, что взлом Twilio в 2022 году не связан непосредственно с кампанией фишинга, которая привела к краже около 10 000 учетных данных сотрудников нескольких компаний. Обе атаки, предположительно, были проведены теми же угрозами.
