多因素身份验证器Authy泄露3,342万名用户的手机号码/账户ID等敏感数据
原文中文，约1000字，阅读约需3分钟。
📝
内容提要
知名多因素身份验证器Authy泄露了3342万名用户的手机号码等敏感数据。黑客利用Authy的API缺陷获取正确的手机号码，用户可能面临钓鱼或SIM换卡攻击。Authy开发商Twilio已确认数据泄露为真，用户可转移到其他身份验证器并关闭Authy的手机号码登录功能以防止SIM换卡攻击。
🔎
延伸解读
API 缺陷如何导致大规模数据泄露
文章指出，此次泄露并非黑客入侵 Authy 服务器，而是其 API 接口未严格验证身份。攻击者批量生成手机号码提交给 API，若号码有效则返回对应账户信息，从而无限次匹配出 3342 万条用户数据。这种利用方式与新浪微博漏洞相同，凸显了 API 安全设计的重要性。
手机号泄露的潜在风险：钓鱼与 SIM 换卡
虽然账号密码未泄露，但手机号码暴露会带来严重后续风险。攻击者可针对已知号码进行精准钓鱼，或收集更多信息实施 SIM 换卡攻击。后者难度较大，但一旦成功，攻击者能拦截短信验证码，进而控制关联账户，造成难以估量的损失。
用户可采取的应对措施
由于数据已经泄露，文章认为没有完美的补救方式。建议用户考虑迁移到其他身份验证器，并关闭 Authy 的手机号码登录功能。这样能降低 SIM 换卡攻击的成功率，因为攻击者无法通过手机号重置或登录 Authy 账户。
❓
Q&A
Authy泄露了多少用户的敏感数据？
Authy泄露了3342万名用户的手机号码等敏感数据。
黑客是如何获取Authy用户手机号码的？
黑客利用Authy的API缺陷，通过批量生成手机号码进行匹配获取正确的手机号码。
用户在Authy数据泄露后应该采取什么措施？
用户应考虑转移到其他身份验证器并关闭Authy的手机号码登录功能以防止SIM换卡攻击。
此次Authy数据泄露与新浪微博的漏洞有什么相似之处？
此次数据泄露与新浪微博的漏洞相似，黑客通过API匹配有效号码获取用户数据。
手机号码泄露可能导致哪些安全问题？
手机号码泄露可能导致钓鱼攻击和SIM换卡攻击，后者可能造成严重损失。
Authy的开发商是谁？
Authy的开发商是Twilio。
🏷️
