黑客滥用 API 端点验证了数百万个Authy MFA 电话号码
内容提要
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy多因素认证用户的电话号码。这可能导致短信钓鱼和SIM卡交换攻击。Twilio已采取措施保护端点，并敦促Authy用户更新其应用程序以获取最新的安全更新。没有证据表明威胁行为者从Twilio的系统中获取了敏感数据。然而，作为预防措施，Twilio建议用户对钓鱼和欺诈攻击保持警惕。此事件类似于以前滥用API编制用户配置文件的案例。Twilio已发布了Authy的新安全更新。
延伸解读
API端点滥用：MFA安全的新威胁
本次事件中，威胁行为者利用未经验证的API端点，通过批量提交电话号码来验证其是否注册了Authy服务，从而编制出3300万个有效号码列表。这种滥用方式与之前Twitter和Facebook API被滥用的案例类似，凸显了API安全在MFA服务中的关键性。企业应确保所有API端点都实施严格的身份验证和速率限制，防止类似的数据枚举攻击。
对Authy用户的实际影响与风险
虽然Twilio表示没有证据表明敏感数据被获取，但泄露的电话号码列表可能被用于短信钓鱼和SIM卡交换攻击。攻击者可能将号码列表与其他数据泄露事件（如Gemini和Nexo）中的信息进行比对，进而针对加密货币交易所账户发起攻击。因此，Authy用户应提高警惕，防范可疑短信和诈骗电话，并避免在未经验证的网站输入验证码。
Twilio的应对措施与用户行动建议
Twilio已保护了不安全的API端点，禁止未经身份验证的请求，并发布了Authy应用的安全更新。建议所有Authy用户尽快升级到Android v25.1.0和iOS v26.1.0版本，以获取最新的安全修复。此外，用户应保持对网络钓鱼和网络诈骗的防范意识，定期检查账户活动，并考虑使用其他安全措施如硬件安全密钥来增强MFA保护。
Q&A
Twilio发现了什么安全问题？
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy用户的电话号码。
这个安全漏洞可能导致哪些攻击？
该漏洞可能导致短信钓鱼和SIM卡交换攻击。
ShinyHunters泄露了多少个电话号码？
ShinyHunters泄露了包含3300万个电话号码的CSV文件。
Twilio采取了哪些措施来保护用户？
Twilio已采取措施保护API端点，禁止未经身份验证的请求，并建议用户更新到最新的Authy应用程序。
用户应该如何保护自己？
Twilio建议用户保持警惕，提升对网络钓鱼和欺诈攻击的防范意识，并更新到最新的应用程序版本。
这个事件与之前的安全事件有什么相似之处？
此事件与之前滥用Twitter和Facebook API编制用户配置文件的案例类似。
