Authy é atacado e Twilio alerta usuários

05/07/2024 mindsecblog Notícias 2

Authy é atacado e Twilio alerta usuários. Twilio diz que hackers identificaram números de celular de usuários do aplicativo Authy de dois fatores.

Na semana passada, um hacker alegou ter roubado 33 milhões de números de telefone da gigante de mensagens dos EUA Twilio. Na terça-feira, a Twilio confirmou ao TechCrunch que “atores de ameaças” conseguiram identificar o número de telefone de pessoas que usam o Authy, um aplicativo popular de autenticação de dois fatores de propriedade da Twilio.

Em uma postagem em um conhecido fórum de hackers, o hacker ou hackers conhecidos como ShinyHunters escreveram que hackearam o Twilio e obtiveram os números de celular de 33 milhões de usuários.

O porta-voz da Twilio, Kari Ramirez, disse ao TechCrunch que a empresa “detectou que os agentes de ameaças conseguiram identificar dados associados às contas Authy, incluindo números de telefone, devido a um endpoint não autenticado. Tomamos medidas para proteger esse endpoint e não permitimos mais solicitações não autenticadas.”

“Não vimos nenhuma evidência de que os agentes da ameaça obtiveram acesso aos sistemas da Twilio ou outros dados confidenciais. Como precaução, estamos solicitando que todos os usuários do Authy atualizem para os aplicativos Android e iOS mais recentes para as últimas atualizações de segurança e encorajamos todos os usuários do Authy a permanecerem diligentes e terem maior conscientização sobre ataques de phishing e smishing”, escreveu Ramirez em um e-mail.

A Twilio também publicou um alerta em seu site oficial na segunda-feira, incluindo a mesma declaração.

Authy | 01 de julho de 2024

Alerta de segurança: atualização do aplicativo Authy para Android (v25.1.0) e iOS (v26.1.0)

A Twilio acredita que a segurança dos nossos produtos e dos dados dos nossos clientes é de suma importância e, quando ocorre um incidente que pode ameaçar essa segurança, nós o informamos.

A Twilio detectou que os agentes de ameaças conseguiram identificar dados associados às contas Authy, incluindo números de telefone, devido a um endpoint não autenticado. Tomamos medidas para proteger esse endpoint e não permitimos mais solicitações não autenticadas.

Não vimos nenhuma evidência de que os agentes de ameaças obtiveram acesso aos sistemas da Twilio ou outros dados confidenciais. Como precaução, estamos solicitando que todos os usuários do Authy atualizem para os aplicativos Android e iOS mais recentes para obter as últimas atualizações de segurança. Embora as contas do Authy não sejam comprometidas, os agentes de ameaças podem tentar usar o número de telefone associado às contas do Authy para ataques de phishing e smishing; incentivamos todos os usuários do Authy a permanecerem diligentes e a terem maior conscientização sobre os textos que estão recebendo.

Esta atualização mais recente aborda correções de bugs, que incluem atualizações de segurança. Clique no link para baixar a versão mais recente:

Andróide

iOS

Sabemos que a segurança dos nossos sistemas é uma parte importante para ganhar e manter sua confiança. Pedimos sinceras desculpas pelo ocorrido. A Equipe de Resposta a Incidentes de Segurança da Twilio publicará quaisquer atualizações aqui se houver alguma alteração. Se você tiver mais perguntas, entre em contato com seu Gerente Técnico de Conta ou com nossa equipe de Suporte .

Aviso: Se você não conseguir acessar sua conta Authy, recomendamos que entre em contato imediatamente com o suporte da Authy. Um de nossos especialistas responderá à sua solicitação e trabalhará com você para que sua conta Authy volte a funcionar.

Embora obter uma lista de números de telefone — por si só — possa não parecer a mais perigosa das violações de dados, ainda pode representar uma ameaça aos proprietários desses números.

“Se os invasores conseguirem enumerar uma lista de números de telefone dos usuários, eles poderão fingir ser Authy/Twilio para esses usuários, aumentando a credibilidade de um ataque de phishing a esse número de telefone”, disse Rachel Tobac, especialista em engenharia social e CEO da SocialProof Security, ao TechCrunch.

Tobac explicou que agora os hackers podem mirar especificamente em pessoas que eles sabem que são usuários do Authy, dando aos invasores uma chance de fazer parecer que suas mensagens maliciosas realmente vêm do Authy e do Twilio.

Em 2022, a Twilio sofreu uma violação de dados maior, quando um grupo de hackers acessou os dados de mais de 100 clientes da empresa . Os hackers então lançaram uma campanha de phishing de amplo alcance que resultou no roubo de cerca de 10.000 credenciais de funcionários de pelo menos 130 empresas . Como parte dessa violação na época, a Twilio disse que os hackers atingiram com sucesso 93 usuários individuais do Authy e conseguiram registrar dispositivos adicionais nas contas Authy dessas vítimas, permitindo que roubassem efetivamente códigos reais de dois fatores.

Atualização 08/07 com considerações da Twilio.