El hackeo de Authy expone los números de teléfono de 33 millones de usuarios; Twilio lo confirma.

Una brecha en Authy ha resultado en que el atacante obtenga los números de teléfono de 33 millones de usuarios de esta popular aplicación de seguridad 2FA, exponiéndolos a un mayor riesgo de ataques de phishing.

El desarrollador Twilio ha confirmado la brecha y ha solicitado a los clientes que tomen dos precauciones…

La autenticación de dos factores (2FA) significa que al ingresar a un sitio web o servicio, se te pedirá un código de acceso único generado por una aplicación, además de tus credenciales. Authy de Twilio es una de las aplicaciones 2FA más populares en la App Store.

La semana pasada, un hacker afirmó haber obtenido los números de teléfono de 33 millones de usuarios de Authy, y Twilio ha confirmado esto, aunque sin especificar el número de cuentas.

Twilio ha detectado que los actores amenazantes pudieron identificar datos asociados con las cuentas de Authy, incluidos los números de teléfono, debido a un punto final no autenticado.

Se han tomado medidas para asegurar este punto final y ya no se permiten solicitudes no autenticadas. No hemos visto evidencia de que los actores amenazantes hayan obtenido acceso a los sistemas de Twilio u otros datos sensibles.

El desarrollador está solicitando a todos los usuarios que actualicen a la última versión y se mantengan alerta ante mensajes de texto sospechosos.

Como precaución, solicitamos que todos los usuarios de Authy actualicen a las últimas aplicaciones de Android e iOS para recibir las últimas actualizaciones de seguridad. Aunque las cuentas de Authy no están comprometidas, los actores amenazantes pueden intentar utilizar el número de teléfono asociado con las cuentas para ataques de phishing y smishing; alentamos a todos los usuarios de Authy a mantenerse diligentes y estar más atentos a los mensajes que reciben.

El mayor riesgo aquí es que un atacante ahora conoce tres cosas sobre ti:

Tu número de teléfono

Que utilizas 2FA

Que específicamente utilizas Authy

Pueden utilizar esta información para crear mensajes de texto persuasivos, por ejemplo, desde uno de tus servicios informando que hay un problema con tu autenticación de dos factores y solicitándote restablecerla. O afirmando ser Twilio.

TechCrunch informa que se cree que el mismo hacker está detrás de una campaña de phishing que resultó en el robo de alrededor de 10,000 credenciales de empleados en varias empresas diferentes.

Un ataque de phishing también estuvo detrás de la violación de datos de Evolve, que probablemente comprometió la información personal sensible de clientes de Wise y otras empresas fintech.

Es la segunda vez en semanas recientes que hemos visto una debilidad de seguridad en una empresa de ciberseguridad, tras la exposición de IDs de fotos en un servicio de verificación de identidad utilizado por varias grandes empresas tecnológicas. El desarrollador de una aplicación 2FA también se encuentra en lo alto de la lista de empresas que realmente no quieres ver hackeadas.