近日,Twilio 称发现了一个不安全的 API 端点,允许威胁行为者非法验证数百万 Authy 多因素身份验证用户的电话号码,这可能导致他们收到短信钓鱼,同时还可能会遭遇 SIM 卡交换攻击。
Authy 是一款移动应用程序,可在启用了 MFA 的网站上生成多因素验证码。
6 月底,一个名为 ShinyHunters 的威胁行为者泄露了一个 CSV 文本文件,其中包含他们在 Authy 服务注册的 3300 万个电话号码。
ShinyHunters 在黑客论坛上分享 Twilio Authy 数据来源:BleepingComputer
CSV 文件包含 33420546 行内容,每一行都包含账户 ID、电话号码、”over_the_top “列、账户状态和设备数量。
Twilio 表示,有威胁分子使用了一个未经验证的 API 端点编译了电话号码列表。目前,Twilio 检测到由于使用了未经身份验证的端点,威胁行为者能够识别与 Authy 账户相关的数据,包括电话号码。Twilio 现已采取措施保护该端点的安全,不再允许未经身份验证的请求。
目前还没有任何证据表明威胁行为者获取了 Twilio 的系统或其他敏感数据。不过作为预防措施,Twilio 要求所有 Authy 用户更新到最新的 Android 和 iOS 应用程序,以获取最新的安全更新,并敦促所有 Authy 用户保持警惕,提高对网络钓鱼和网络诈骗攻击的防范意识。
2022 年Twilio 曾披露过两起漏洞攻击事件,当时有威胁行为者入侵了其基础设施并访问 Authy 客户信息。
滥用不安全的 API
据悉,这些数据是通过不安全的 API 端点输入大量电话号码列表编制而成的。如果号码有效,端点就会返回在 Authy 注册的相关账户信息。
这种技术与此前威胁行为者滥用Twitter API 和 Facebook API 编译数千万用户配置文件的方式类似。
ShinyHunters 在帖子中称:虽然 Authy 只获取电话号码,但这对于那些想实施诈骗、SIM 卡交换攻击入侵账户的用户仍然有利。并暗示威胁行为者将电话号码列表与据称 Gemini 和 Nexo 数据泄露事件中泄露的电话号码进行比较。
如果发现匹配,威胁者可能会尝试执行 SIM 卡交换攻击或网络钓鱼攻击,入侵加密货币交易所账户并窃取所有资产。
Twilio 目前已经发布了新的安全更新,并建议用户升级到 Authy Android(v25.1.0)和 iOS App(v26.1.0),其中包括安全更新。
转自FreeBuf,原文链接:https://www.freebuf.com/news/405195.html
暂无评论内容