33 milioni di numeri di telefono esposti in una grave violazione dei dati di Authy
Authy è una popolare applicazione di autenticazione a due fattori di terze parti che è stata acquisita da Twilio (un'azienda di comunicazioni cloud con sede a San Francisco) nel 2015. Il 1° luglio 2024, Twilio ha confermato in un post sul blog che i numeri di telefono dei clienti sono trapelati in una violazione dei dati violazione dei dati associata ad Authy. Secondo il post, la violazione è stata causata da un "endpoint non autenticato" che ha permesso agli aggressori di identificare i numeri di telefono. Un endpoint non autenticato, ad esempio, sarebbe come una porta sul retro di un edificio sicuro che chiunque potrebbe attraversare senza una chiave di autenticazione. Twilio ha inoltre assicurato ai suoi utenti che non sono stati compromessi password, semi di autenticazione a due fattori o altri dettagli dell'account.
A partire da ora, gli utenti di Authy esistenti dovrebbero essere particolarmente vigili contro le potenziali truffe di phishing e smishing. Queste truffe spesso comportano l'invio di messaggi di testo o l'effettuazione di chiamate da parte di aggressori che si spacciano per aziende legittime, nel tentativo di rubare le credenziali di accesso o altre informazioni sensibili. Mentre il post sul blog di Twilio non specifica esattamente quanti account sono stati colpiti, TechCrunch afferma che sono stati rubati 33 milioni di numeri di telefono. Secondo quanto riferito, l'hacker ShinyHunters ha rivendicato la responsabilità dell'attacco su un forum di hacking.
Twilio ha anche chiesto agli utenti di Authy di aggiornare prontamente l'app (Android v25.1.0 o successiva, iOS v26.1.0 o successiva). Inoltre, gli utenti sono invitati a diffidare degli sms o delle chiamate non richieste che richiedono informazioni di accesso. Per un ulteriore livello di sicurezza, gli utenti possono prendere in considerazione l'utilizzo di una chiave hardware per l'autenticazione a due fattori, oppure passare ad un'applicazione diversa, come Google Authenticator.
Fonte(i)
Twilio via TechCrunch
