黑客滥用API端点验证了数百万个Authy MFA电话号码

admin 2024年7月4日23:11:15评论10 views字数 1148阅读3分49秒阅读模式

黑客滥用API端点验证了数百万个Authy MFA电话号码

近日,Twilio 称发现了一个不安全的 API 端点,允许威胁行为者非法验证数百万 Authy 多因素身份验证用户的电话号码,这可能导致他们收到短信钓鱼,同时还可能会遭遇 SIM 卡交换攻击。

黑客滥用API端点验证了数百万个Authy MFA电话号码

Authy 是一款移动应用程序,可在启用了 MFA 的网站上生成多因素验证码。

6 月底,一个名为 ShinyHunters 的威胁行为者泄露了一个 CSV 文本文件,其中包含他们在 Authy 服务注册的 3300 万个电话号码。

黑客滥用API端点验证了数百万个Authy MFA电话号码

ShinyHunters 在黑客论坛上分享 Twilio Authy 数据来源:BleepingComputer

CSV 文件包含 33420546 行内容,每一行都包含账户 ID、电话号码、「over_the_top」列、账户状态和设备数量。

Twilio 表示,有威胁分子使用了一个未经验证的 API 端点编译了电话号码列表。目前,Twilio 检测到由于使用了未经身份验证的端点,威胁行为者能够识别与 Authy 账户相关的数据,包括电话号码。Twilio 现已采取措施保护该端点的安全,不再允许未经身份验证的请求。

目前还没有任何证据表明威胁行为者获取了 Twilio 的系统或其他敏感数据。不过作为预防措施,Twilio 要求所有 Authy 用户更新到最新的 Android 和 iOS 应用程序,以获取最新的安全更新,并敦促所有 Authy 用户保持警惕,提高对网络钓鱼和网络诈骗攻击的防范意识。

2022 年Twilio 曾披露过两起漏洞攻击事件,当时有威胁行为者入侵了其基础设施并访问 Authy 客户信息。

滥用不安全的 API

据悉,这些数据是通过不安全的 API 端点输入大量电话号码列表编制而成的。如果号码有效,端点就会返回在 Authy 注册的相关账户信息。

这种技术与此前威胁行为者滥用Twitter API 和 Facebook API 编译数千万用户配置文件的方式类似。

ShinyHunters 在帖子中称:虽然 Authy 只获取电话号码,但这对于那些想实施诈骗、SIM 卡交换攻击入侵账户的用户仍然有利。并暗示威胁行为者将电话号码列表与据称 Gemini 和 Nexo 数据泄露事件中泄露的电话号码进行比较。

如果发现匹配,威胁者可能会尝试执行 SIM 卡交换攻击或网络钓鱼攻击,入侵加密货币交易所账户并窃取所有资产。

Twilio 目前已经发布了新的安全更新,并建议用户升级到 Authy Android(v25.1.0)和 iOS App(v26.1.0),其中包括安全更新。

黑客滥用API端点验证了数百万个Authy MFA电话号码
黑客滥用API端点验证了数百万个Authy MFA电话号码
https://www.bleepingcomputer.com/news/security/hackers-abused-api-to-verify-millions-of-authy-mfa-phone-numbers/

原文始发于微信公众号(FreeBuf):黑客滥用API端点验证了数百万个Authy MFA电话号码

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年7月4日23:11:15
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   黑客滥用API端点验证了数百万个Authy MFA电话号码http://cn-sec.com/archives/2921276.html

发表评论

匿名网友 填写信息