A Twilio diz que alguém obteve números de telefone associados ao seu serviço de autenticação de dois fatores (2FA), Authy, conforme relatado anteriormente por TechCrunch. Em um alerta de segurança na segunda-feira, a Twilio alerta que os “atores de ameaças” podem tentar usar os números de telefone roubados para realizar ataques de phishing e outros golpes.
O incidente segue uma violação de dados de 2022 que ocorreu após uma campanha de phishing enganar funcionários para que divulgassem suas credenciais de login. Os invasores acessaram dados de 163 contas Twilio e conseguiram acessar e registrar dispositivos adicionais em 93 contas Authy.
A Twilio rastreou esse vazamento até “um endpoint não autenticado” que ele protegeu desde então. Na semana passada, o ator de ameaças ShinyHunters publicou uma lista de 33 milhões de números de telefone de contas Authy na dark web. Conforme apontado por BleepingComputero agente da ameaça parece ter obtido as informações inserindo uma lista enorme de números de telefone no ponto de extremidade de API não seguro do Authy, que então verificaria se eles estavam associados ao aplicativo.
“Nós encorajamos todos os usuários do Authy a permanecerem diligentes e a terem maior conscientização sobre os textos que estão recebendo”, escreve a Twilio. Ela acrescenta que “não viu nenhuma evidência de que os agentes da ameaça obtiveram acesso aos sistemas da Twilio ou outros dados confidenciais” e que as contas da Authy não foram comprometidas. A Twilio está aconselhando os usuários a atualizarem seus aplicativos Authy no Android e iOS (o aplicativo de desktop Authy foi descontinuado).
theverge