Twilio表示，黑客识别了双因素认证应用Authy用户的手机号码

上周，一名黑客声称从美国消息巨头Twilio那里窃取了3300万个手机号码。周二，Twilio向TechCrunch确认，“威胁行为者”能够识别使用Twilio旗下受欢迎的两步验证应用Authy的用户的电话号码。 在一个著名的黑客论坛上，黑客或以ShinyHunters为人所知的黑客写道，他们入侵了Twilio并获得了3300万用户的手机号码。 Twilio发言人Kari Ramirez告诉TechCrunch，该公司“已经发现威胁行为者能够识别与Authy帐户相关的数据，包括电话号码，由于一个未经认证的端点。我们已经采取措施保护这个端点，不再允许未经认证的请求。” “我们没有看到威胁行为者获得访问Twilio系统或其他敏感数据的证据。 作为预防措施，我们要求所有Authy用户升级到最新的Android和iOS应用程序以获取最新的安全更新，并鼓励所有Authy用户保持警惕，并对钓鱼和Smishing攻击提高警惕，” Ramirez在一封电子邮件中写道。Twilio还于周一在其官方网站上发布了一份警报，其中包含相同的声明。如果攻击者能够列出用户的电话号码列表，那么这些攻击者就可以假装成Authy/Twilio与这些用户联系，增加了对该电话号码的钓鱼攻击的可信度，社交工程和SocialProof Security的首席执行官Rachel Tobac告诉TechCrunch。Tobac解释道，现在黑客可以具体针对他们知道是Authy用户的人，让攻击者有机会使其恶意消息看起来真的来自Authy和Twilio。在2022年，Twilio遭受了一次更大规模的数据泄露事件，当时一群黑客访问了100多家公司客户的数据。 然后，黑客发起了一场大规模的钓鱼活动，结果导致至少130家公司的约10,000名员工凭证被盗。 在当时的那次入侵中，Twilio表示，黑客成功地针对了93名单个Authy用户，并能够在这些受害者的Authy帐户上注册额外设备，从而有效地窃取真实的两因素代码。更新，美东时间12:52 p.m.：本故事已经更正，澄清2022年Twilio的数据泄露事件与导致几家公司约10,000名员工凭证被盗的钓鱼活动没有直接联系。这两次攻击据称是由同一威胁行为者发动的。