黑客滥用 API 端点验证了数百万个Authy MFA 电话号码
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy多因素认证用户的电话号码。这可能导致短信钓鱼和SIM卡交换攻击。Twilio已采取措施保护端点，并敦促Authy用户更新其应用程序以获取最新的安全更新。没有证据表明威胁行为者从Twilio的系统中获取了敏感数据。然而，作为预防措施，Twilio建议用户对钓鱼和欺诈攻击保持警惕。此事件类似于以前滥用API编制用户配置文件的案例。Twilio已发布了Authy的新安全更新。
❓
Q&A
Twilio发现了什么安全问题？
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy用户的电话号码。
这个安全漏洞可能导致哪些攻击？
该漏洞可能导致短信钓鱼和SIM卡交换攻击。
ShinyHunters泄露了多少个电话号码？
ShinyHunters泄露了包含3300万个电话号码的CSV文件。
Twilio采取了哪些措施来保护用户？
Twilio已采取措施保护API端点，禁止未经身份验证的请求，并建议用户更新到最新的Authy应用程序。
用户应该如何保护自己？
Twilio建议用户保持警惕，提升对网络钓鱼和欺诈攻击的防范意识，并更新到最新的应用程序版本。
这个事件与之前的安全事件有什么相似之处？
此事件与之前滥用Twitter和Facebook API编制用户配置文件的案例类似。
🏷️
