يقول Twilio إن المتسللين حددوا أرقام الهواتف المحمولة لمستخدمي التطبيق الثنائي Authy

في الأسبوع الماضي، ادعى أحد المتسللين أنه سرق 33 مليون رقم هاتف من شركة المراسلة الأمريكية العملاقة Twilio. وفي يوم الثلاثاء، أكد Twilio لـ TechCrunch أن “الجهات الفاعلة التهديدية” تمكنت من تحديد أرقام هواتف الأشخاص الذين يستخدمون Authy، وهو تطبيق مصادقة ثنائي شائع مملوك لشركة Twilio.

وفي منشور على أحد منتديات القرصنة المعروفة، كتب الهاكر أو الهاكرز المعروفين باسم ShinyHunters أنهم اخترقوا Twilio وحصلوا على أرقام هواتف محمولة لـ 33 مليون مستخدم.

قال المتحدث باسم Twilio، كاري راميريز، لـ TechCrunch إن الشركة “اكتشفت أن الجهات الفاعلة في مجال التهديد كانت قادرة على تحديد البيانات المرتبطة بحسابات Authy، بما في ذلك أرقام الهواتف، بسبب نقطة نهاية غير مصادق عليها. لقد اتخذنا إجراءات لتأمين نقطة النهاية هذه ولم نعد نسمح بالطلبات غير المصادق عليها.

“لم نر أي دليل على أن الجهات الفاعلة في مجال التهديد تمكنت من الوصول إلى أنظمة Twilio أو غيرها من البيانات الحساسة. “كإجراء احترازي، نطلب من جميع مستخدمي Authy التحديث إلى أحدث تطبيقات Android وiOS للحصول على آخر التحديثات الأمنية ونشجع جميع مستخدمي Authy على البقاء مجتهدين وزيادة الوعي حول هجمات التصيد الاحتيالي والتصيد الاحتيالي”، كتب راميريز في رسالة بالبريد الإلكتروني.

كما نشرت Twilio تنبيهًا على موقعها الرسمي يوم الاثنين، يتضمن البيان نفسه.

في حين أن الحصول على قائمة بأرقام الهواتف – في حد ذاته – قد لا يبدو أنه أخطر خروقات البيانات، إلا أنه لا يزال من الممكن أن يشكل تهديدًا لأصحاب تلك الأرقام.

“إذا تمكن المهاجمون من تعداد قائمة بأرقام هواتف المستخدم، فيمكن لهؤلاء المهاجمين التظاهر بأنهم Authy/Twilio لهؤلاء المستخدمين، مما يزيد من مصداقية هجوم التصيد الاحتيالي على رقم الهاتف هذا،” راشيل توباك، خبيرة في الهندسة الاجتماعية والهندسة الاجتماعية. قال الرئيس التنفيذي لشركة SocialProof Security لـ TechCrunch.

وأوضح توباك أنه يمكن للمتسللين الآن استهداف الأشخاص الذين يعرفون أنهم من مستخدمي Authy على وجه التحديد، مما يمنح المهاجمين فرصة لجعل رسائلهم الضارة تبدو وكأنها تأتي بالفعل من Authy وTwilio.

وفي عام 2022، عانت Twilio من اختراق أكبر للبيانات، عندما تمكنت مجموعة من المتسللين من الوصول إلى بيانات أكثر من 100 عميل للشركة. أطلق المتسللون بعد ذلك حملة تصيد واسعة النطاق أدت إلى سرقة حوالي 10000 من بيانات اعتماد الموظفين من 130 شركة على الأقل. وكجزء من هذا الاختراق في ذلك الوقت، قال Twilio إن المتسللين استهدفوا بنجاح 93 مستخدمًا فرديًا لـ Authy وتمكنوا من تسجيل أجهزة إضافية على حسابات Authy الخاصة بهؤلاء الضحايا، مما سمح لهم بسرقة رموز حقيقية ثنائية العامل بشكل فعال.

تحديث، الساعة 12:52 مساءً بالتوقيت الشرقي: تم تصحيح هذه القصة لتوضيح أن اختراق Twilio لعام 2022 ليس مرتبطًا بشكل مباشر بحملة التصيد الاحتيالي التي أدت إلى سرقة حوالي 10000 من بيانات اعتماد الموظفين في العديد من الشركات. ويُزعم أن الهجومين تم تنفيذهما من قبل نفس الجهات التهديدية.