Miljoenen telefoonnummers gestolen via 2FA-app Authy
Stelen is in dit geval niet helemaal de juiste term: hackersgroepering ShinyHunters heeft de API-endpoint van Authy namelijk misbruikt om de database te doorzoeken. Door telefoonnummers in te voeren, konden ze controleren of er een 2FA-account van Authy aan gekoppeld was. Door dit proces eindeloos te herhalen, kregen ze toegang een enorme hoeveelheid klantgegevens. Via de kwetsbare endpoint wist ShinyHunters de telefoonnummers van 33 miljoen Authy-gebruikers te verifiëren. Dat blijkt uit een melding op het BreachForum-forum.
De herkomst van de telefoonnummers
Waar de telefoonnummers die ShinyHunters heeft gebruikt vandaan komen, is op dit moment onbekend. De kans is groot dat ze bij een eerdere aanval buit zijn gemaakt. Of dat bij Authy of een andere dienst is gebeurd, is onduidelijk. Het is ook mogelijk dat de data niet van de 2FA-dienst zelf afkomstig is, maar van andere gelekte databestanden. Hackers gebruiken gestolen data vaak voor nieuwe aanvallen.
Voor Twillio is dit het zoveelste beveiligingsincident in korte tijd. In 2022 werd de Authy-ontwikkelaar getroffen door een phishingaanval. Medewerkers kregen via sms een link toegestuurd om hun “verlopen wachtwoord” aan te passen. Eens ze op de link klikten en hun wachtwoord invoerden, kregen hackers toegang tot de systemen en klantgegevens. Hiermee konden ze eenmalige 2FA-codes van Twillio- en Authy-gebruikers bemachtigen.
Twillio kreeg onlangs ook te maken met een beveiligingslek via een AWS S3-bucket. Deze bucket bleek openbaar toegankelijk te zijn en bevatte gegevens die via Twillio waren verstuurd. De gegevens waren van 1 januari tot en met 14 mei vrij toegankelijk. Dit lek heeft niets te maken met Authy: Twillio biedt ook een sms-verificatiedienst aan voor derde partijen, en de data van die dienst was onvoldoende beveiligd.
Update je Authy-app
Twillio adviseert alle Authy-gebruikers om hun app op Android en iOS te updaten. Na een recente update heeft de ontwikkelaar de onbeveiligde API-endpoint gedicht. Tevens zijn er maatregelen genomen om soortgelijke aanvallen in de toekomst te voorkomen. Twillio heeft op dit moment geen aanwijzingen dat de gelekte telefoonnummers zijn misbruikt.
