Twilio a émis une mise à jour critique pour son application Authy, utilisée pour l’authentification à deux facteurs (2FA), après la détection d’une vulnérabilité qui a permis à des acteurs malveillants d’identifier des numéros de téléphone associés aux comptes Authy via un point d’accès non authentifié.

Détails de l’Incident

Twilio a identifié que les acteurs malveillants ont réussi à accéder aux données associées aux comptes Authy, y compris les numéros de téléphone, en raison d’un point d’accès non authentifié. L’entreprise a pris des mesures immédiates pour sécuriser ce point d’accès et n’autorise plus les requêtes non authentifiées. Bien qu’il n’y ait pas de preuve que les assaillants aient eu accès à d’autres données sensibles de Twilio, la société recommande à tous les utilisateurs d’Authy de mettre à jour leurs applications pour Android et iOS aux versions les plus récentes afin de sécuriser leurs comptes.

Mesures de Précaution et Mise à Jour Nécessaire

Pour protéger leurs comptes, les utilisateurs doivent mettre à jour leurs applications aux dernières versions disponibles.

Bien que les comptes Authy n’aient pas été compromis, les numéros de téléphone associés pourraient être utilisés dans des attaques de phishing et de smishing. Twilio exhorte les utilisateurs à rester vigilants et à faire preuve de prudence accrue concernant les messages textes qu’ils reçoivent.

Déclarations Officielles

Kari Ramirez, porte-parole de Twilio, a informé TechCrunch : « Nous avons détecté que des acteurs malveillants ont pu identifier des données associées aux comptes Authy, y compris les numéros de téléphone, en raison d’un point d’accès non authentifié. Nous avons pris des mesures pour sécuriser ce point d’accès et nous n’autorisons plus les requêtes non authentifiées. Par mesure de précaution, nous demandons à tous les utilisateurs d’Authy de mettre à jour leurs applications vers les dernières versions pour Android et iOS afin de bénéficier des dernières mises à jour de sécurité et nous encourageons tous les utilisateurs à rester vigilants face à de possibles attaques de phishing et de smishing. »

Contexte Supplémentaire

La semaine dernière, un hacker connu sous le nom de ShinyHunters a prétendu avoir volé 33 millions de numéros de téléphone de Twilio. Bien que l’obtention d’une liste de numéros de téléphone à elle seule peut ne pas sembler extrêmement dangereuse, elle représente encore une menace significative. Les attaquants pourraient se faire passer pour Authy ou Twilio, augmentant ainsi la crédibilité de leurs attaques de phishing dirigées vers ces numéros. Rachel Tobac, spécialiste en ingénierie sociale et PDG de SocialProof Security, a expliqué que désormais, les hackers peuvent spécifiquement cibler les utilizateurs d’Authy, rendant leurs messages malveillants apparenter légitimes.

La réponse rapide de Twilio pour sécuriser le point d’accès non authentifié et la recommandation de mettre à jour les applications Authy soulignent son engagement envers la sécurité des utilisateurs. Il est crucial que les utilisateurs suivent ces recommandations pour protéger leurs comptes et restent vigilants face aux possibles attaques de phishing et de smishing.