黑客滥用 API 端点验证了数百万个Authy MFA 电话号码
💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy多因素认证用户的电话号码。这可能导致短信钓鱼和SIM卡交换攻击。Twilio已采取措施保护端点，并敦促Authy用户更新其应用程序以获取最新的安全更新。没有证据表明威胁行为者从Twilio的系统中获取了敏感数据。然而，作为预防措施，Twilio建议用户对钓鱼和欺诈攻击保持警惕。此事件类似于以前滥用API编制用户配置文件的案例。Twilio已发布了Authy的新安全更新。
🎯
关键要点
- Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy用户的电话号码。
- 此事件可能导致短信钓鱼和SIM卡交换攻击。
- ShinyHunters泄露了包含3300万个电话号码的CSV文件，数据来源于Authy服务。
- 威胁行为者利用未经验证的API端点编制电话号码列表，识别与Authy账户相关的数据。
- Twilio已采取措施保护该端点，禁止未经身份验证的请求。
- 目前没有证据表明敏感数据被获取，但Twilio建议用户保持警惕。
- Twilio曾在2022年披露过两起漏洞攻击事件，威胁行为者曾访问Authy客户信息。
- 滥用不安全的API技术与之前的Twitter和Facebook API滥用案例类似。
- ShinyHunters暗示威胁行为者可能会尝试执行SIM卡交换攻击或网络钓鱼攻击。
- Twilio已发布新的安全更新，建议用户升级到最新版本的Authy应用程序。
❓
延伸问答
Twilio发现了什么安全问题？
Twilio发现了一个不安全的API端点，允许威胁行为者非法验证数百万Authy用户的电话号码。
这个安全漏洞可能导致哪些攻击？
该漏洞可能导致短信钓鱼和SIM卡交换攻击。
ShinyHunters泄露了多少个电话号码？
ShinyHunters泄露了包含3300万个电话号码的CSV文件。
Twilio采取了哪些措施来保护用户？
Twilio已采取措施保护API端点，禁止未经身份验证的请求，并建议用户更新到最新的Authy应用程序。
用户应该如何保护自己？
Twilio建议用户保持警惕，提升对网络钓鱼和欺诈攻击的防范意识，并更新到最新的应用程序版本。
这个事件与之前的安全事件有什么相似之处？
此事件与之前滥用Twitter和Facebook API编制用户配置文件的案例类似。
➡️
