Hackers έκαναν κατάχρηση του API για να επαληθεύσουν εκατομμύρια τηλεφωνικούς αριθμούς Authy MFA

[nnn]

Η Twilio επιβεβαίωσε ότι ένα μη ασφαλές API endpoint επέτρεψε σε δράστες επιθέσεων να επαληθεύσουν τους αριθμούς τηλεφώνου εκατομμυρίων χρηστών του Authy multi-factor authentication, καθιστώντας τους ενδεχομένως ευάλωτους σε επιθέσεις SMS phishing και SIM swapping.

Το Authy είναι μια εφαρμογή για κινητά που δημιουργεί κωδικούς ελέγχου ταυτότητας πολλαπλών παραγόντων σε ιστότοπους όπου έχετε ενεργοποιήσει το MFA.

Στα τέλη Ιουνίου, ένας επιτιθέμενος με το όνομα ShinyHunters διέρρευσε ένα αρχείο κειμένου CSV που περιείχε, όπως ισχυρίζεται, 33 εκατομμύρια αριθμούς τηλεφώνων εγγεγραμμένους στην υπηρεσία Authy.

Το αρχείο CSV περιέχει 33.420.546 γραμμές, κάθε μία από τις οποίες περιέχει ένα αναγνωριστικό λογαριασμού, έναν αριθμό τηλεφώνου, μια στήλη "over_the_top", την κατάσταση λογαριασμού και τον αριθμό συσκευών.

Η Twilio επιβεβαίωσε τώρα στο BleepingComputer ότι η δράστης συγκέντρωσε τη λίστα των τηλεφωνικών αριθμών χρησιμοποιώντας ένα μη πιστοποιημένο API endpoint.

"Η Twilio εντόπισε ότι οι δράστες απειλών ήταν σε θέση να εντοπίσουν δεδομένα που σχετίζονται με λογαριασμούς Authy, συμπεριλαμβανομένων αριθμών τηλεφώνου, λόγω ενός μη πιστοποιημένου τελικού σημείου. Λάβαμε μέτρα για την ασφάλεια αυτού του τελικού σημείου και δεν επιτρέπουμε πλέον μη πιστοποιημένα αιτήματα", δήλωσε η Twilio στο BleepingComputer.

"Δεν έχουμε δει καμία απόδειξη ότι οι απειλητικοί φορείς απέκτησαν πρόσβαση στα συστήματα της Twilio ή σε άλλα ευαίσθητα δεδομένα. Για προληπτικούς λόγους, ζητάμε από όλους τους χρήστες του Authy να ενημερώσουν τις τελευταίες εφαρμογές Android και iOS για τις τελευταίες ενημερώσεις ασφαλείας και ενθαρρύνουμε όλους τους χρήστες του Authy να παραμείνουν επιμελείς και να έχουν αυξημένη ευαισθητοποίηση σχετικά με τις επιθέσεις phishing και smishing".

Το 2022, η Twilio αποκάλυψε ότι υπέστη παραβιάσεις τον Ιούνιο και τον Αύγουστο, οι οποίες επέτρεψαν σε φορείς απειλών να παραβιάσουν την υποδομή της και να αποκτήσουν πρόσβαση σε πληροφορίες πελατών της Authy.

Πηγή : Bleeping Computer

[nnn]

Κλείστε το ρμδι σας

[BlueChris]

Το είχα πάρει μια φορά πριν πολλά χρόνια για να στέλνει το Traccar μου SMS... είχα βάλει και 10€ .. τώρα τα θυμήθηκα και ακόμα μέσα είναι!!!!!

[tsigarid]

Ποιο είναι το haveibeenpwned για κινητά είπαμε;

[thourios]

Προσπαθούν να μπουν σε ένα e-mail ή οτιδήποτε άλλο και μου έρχονται στο κινητό κάτι τέτοια. Εννοείται τα απορρίπτω.
'Ότι και κωδικούς να αλλάξω το ίδιο συμβαίνει

[nnn]

Προσπαθούν να μπουν σε ένα e-mail ή οτιδήποτε άλλο και μου έρχονται στο κινητό κάτι τέτοια. Εννοείται τα απορρίπτω.

Πέταξε το από 2FA, όπου το έχεις.