二次验证应用 Authy 证实泄漏了 3300 万用户的手机号码，但未获得系统或其他敏感数据的访问权限
内容提要
Authy，一款双因素认证应用程序，暴露了大约3300万用户的绑定电话号码。然而，没有敏感数据或系统信息泄露。Twilio已采取措施保护用户数据，并建议用户更新应用程序以获取最新的安全更新。对于有需要的用户，建议使用Google Authenticator、Microsoft Authenticator、1Password和Bitwarden等替代服务。由于中国的大多数服务不支持双因素认证，对国内用户的影响很小。
延伸解读
手机号泄露的实际风险
此次泄露仅限于绑定手机号，黑客无法直接登录Authy获取2FA验证码。但攻击者可能利用这些号码发起钓鱼攻击，例如伪装成Authy发送短信或邮件，诱导用户提供验证码或点击恶意链接。用户应保持警惕，不要轻信任何声称来自Authy的通信，并避免在不明网站输入2FA代码。
Twilio的应对与用户行动
Twilio已修复了导致数据泄露的未认证端点，并建议所有Authy用户更新至最新版Android和iOS应用以获取安全更新。虽然未发现系统或其他敏感数据被访问，但用户应及时更新应用，并考虑启用额外的安全措施，如使用硬件安全密钥，以降低潜在风险。
替代2FA应用的考量
如果用户对Authy的安全性存疑，可考虑迁移至Google Authenticator、Microsoft Authenticator、1Password或Bitwarden等替代服务。这些应用同样支持基于时间的一次性密码，但迁移时需注意重新绑定所有启用2FA的账户，并确保备份恢复代码，避免因更换应用导致账户锁定。
对国内用户的有限影响
由于国内绝大多数互联网服务不支持双因素认证，Authy此次泄露对国内用户的影响较小。仅少数使用国际服务的用户可能受影响，这些用户应关注账户安全，检查是否有异常登录尝试，并考虑更换绑定手机号或迁移至其他2FA应用。
Q&A
Authy泄露了多少用户的手机号码？
Authy泄露了大约3300万用户的绑定手机号码。
泄露事件中是否有敏感数据被访问？
没有敏感数据或系统信息的访问权限被泄露。
用户应该如何保护自己的账户？
用户应更新到最新的Android和iOS应用程序以获得最新的安全更新。
有哪些替代的双因素认证服务可以使用？
用户可以考虑使用Google Authenticator、Microsoft Authenticator、1Password和Bitwarden等替代服务。
Authy将于何时停止支持桌面应用程序？
Authy将于2024年3月19日停止支持桌面应用程序。
此次泄露对中国用户的影响如何？
由于国内大多数服务不支持双因素认证，对国内用户的影响较小。
