La empresa Twilio ha confirmado que un punto final API no seguro permitió a actores de amenazas verificar los números de teléfono de millones de usuarios de la aplicación Authy, lo cual los hizo potencialmente vulnerables a ataques de phishing por SMS y de intercambio de SIM.
Authy: una herramienta de autenticación multifactor
Authy es una aplicación móvil que genera códigos de autenticación multifactor en sitios web donde el usuario tiene habilitado MFA. La vulnerabilidad descubierta permitió a los actores de amenazas compilar datos al ingresar una lista masiva de números de teléfono en el punto final API no seguro.
Si un número era válido, el punto final devolvía información sobre las cuentas asociadas registradas con Authy. A finales de junio, un actor de amenazas llamado ShinyHunters filtró un archivo CSV que contiene 33.420.546 filas, cada una con un ID de cuenta, número de teléfono y otros datos.
Twilio toma medidas para proteger la API
Twilio ha confirmado que los actores de amenazas compilaron la lista de números de teléfono utilizando un punto final no autenticado. La empresa ha tomado medidas para proteger este punto final y ya no permitirá solicitudes no autenticadas.
No se ha encontrado evidencia de que los actores de amenazas hayan obtenido acceso a los sistemas de Twilio u otros datos confidenciales. Como precaución, la empresa recomienda a todos los usuarios de Authy actualizar a las últimas aplicaciones de Android e iOS para obtener las últimas actualizaciones de seguridad.
Historial de vulnerabilidades en Twilio
En 2022, Twilio reveló que sufrió infracciones en junio y agosto que permitieron a los actores de amenazas violar su infraestructura y acceder a la información de los clientes de Authy.
Abuso de API no seguras
La protección de la API ahora impide que se abusara de ella para verificar si un número de teléfono se utiliza con Authy. Esta técnica es similar a cómo actores de amenazas abusaron de APIs no seguras de Twitter y Facebook para compilar perfiles de millones de usuarios.
El raspado de Authy solo contenía números de teléfono, pero aún puede ser ventajoso para los usuarios que buscan realizar ataques de SMiShing o intercambio de SIM para violar cuentas.
Actualización de seguridad y recomendaciones
Twilio ha lanzado una nueva actualización de seguridad y recomienda a los usuarios actualizar a la versión Android v25.1.0 e iOS v26.1.0, que incluyen actualizaciones de seguridad. No está claro cómo esta actualización ayuda a proteger a los usuarios frente a los datos extraídos en ataques.
Los usuarios deben asegurarse de que sus cuentas móviles estén configuradas para bloquear las transferencias de números sin proporcionar un código de acceso ni desactivar las protecciones de seguridad. Además, deben estar atentos a posibles ataques de phishing por SMS que intenten robar datos más confidenciales como contraseñas.
Notificación de violación no relacionada
Twilio también comenzó a enviar notificaciones de violación de datos después de que un repositorio AWS S3 no seguro expusiera datos relacionados con SMS enviados a través de la empresa.