Veszélybe kerültek az Authy felhasználók telefonszámai

​A Twilio rendszere egy olyan biztonsági hibát tartalmazott, amelyen keresztül milliószámra váltak ellenőrizhetővé telefonszámok.
 

Június végén az egyik alvilági fórumon felbukkant egy olyan CSV-fájl, amelyben több mint 33 millió telefonszám volt megtalálható. Az állomány publikálója azt állította, hogy a fájlban Twilio rendszerében szereplő (Authy) felhasználói telefonszámok szerepelnek. Az állomány felbukkanását követően a Twilio vizsgálatot indított, és végül kiderült, hogy a rendszerén egy súlyos biztonsági rés tátongott.
 
A kétfaktoros hitelesítést támogató Authy alkalmazások és szolgáltatások világszerte széles körben használatosak (bár a számítógépekre fejlesztett kliensek fejlesztésével éppen nemrégen hagyott fel a cég, nem kis zúgolódást keltve ezzel a felhasználók között). Mivel biztonsági szolgáltatásokat nyújt a cég, ezért fokozott elvárások vannak a rendszereinek védelmével szemben. Ezen elvárásoknak nem igazán tudott most megfelelni, hiszen kiderült, hogy a 33 milliós lista létrejöttéhez egy súlyos sérülékenység járult hozzá.
 
A vizsgálatok feltárták, hogy a biztonsági hibát a Twilio egyik API-ja tartalmazta, mivel az nem volt megfelelően védve a jogosulatlan használat ellen. Ennél fogva korlátlan számban lehetett felhasználni telefonszámok ellenőrzésére. Vagyis bárki megtudhatta egy (vagy akár több millió) telefonszámról, hogy az létezik-e a Twilio Authy adatbázisában valamely felhasználói profilhoz kapcsolódóan. Emellett néhány kiegészítő adat birtokába is juthatott az, aki használta az API-t. Így például egy Twilionál létező telefonszámmal kapcsolatba kideríthette, hogy az aktív felhasználói fiókhoz tartozik-e, és hogy a fiókhoz hány eszköz van társítva. Pontosan ezek az adatok szerepeltek a múlt havi, 33 milliós fájlban is.
 
A Twilio közölte, hogy már megszüntette a szóban forgó API biztonsági hibáját, így az már nem használható telefonszám alapú, jogosulatlan, tömeges lekérdezésekhez, adatgyűjtésekhez.
 
A hasonló biztonsági problémák azért is kockázatosak, mert ezek révén a csalók pontos képet kaphatnak a személyes adatok valódiságáról, érvényességéről, és célzottabb, testre szabott adathalász támadásokat indíthatnak.
 
A Twilionak nem ez volt az első biztonsági incidense. Az eddigi legjelentősebb támadások 2022 nyarán érték a vállalatok, amikor a támadók hozzáférést szereztek az informatikai infrastruktúrájához, amelyből aztán felhasználói adatokhoz is hozzájutottak.
 
  1. 4

    Elérhetővé váltak a MySQL legújabb biztonsági frissítéseit.

  2. 4

    A Java frissítésével ezúttal hét biztonsági rés foltozható be.

  3. 3

    Telepíthetők az Oracle Database Server legújabb biztonsági frissítései.

  4. 4

    A VirtualBox virtualizációs alkalmazás három biztonsági hibát tartalmaz.

  5. 5

    A Cisco egy kritikus veszélyességű sebezhetőséget szüntetett meg az SSM-ben.

  6. 3

    Az IBM Security SOAR esetében egy biztonsági hibajavítás vált elérhetővé.

  7. 3

    A Palo Alto Networks egy hibajavítást adott ki a PAN-OS-hez.

  8. 4

    Az NVIDIA egyes grafikus drivereiben egy veszélyes hibára derült fény.

  9. 3

    A Webminhez több biztonsági frissítés vált letölthetővé.

  10. 3

    A Wireshark egy nemrég feltárt sebezhetőség miatt kapott frissítést.

Partnerhírek
Mesterséges intelligencia és deepfake a támadásokban

Az ESET legújabb Threat Report jelentése átfogó képet ad az ESET szakértői csapata által 2023 decemberétől 2024 májusáig megfigyelt fenyegetettségi trendekről.

​A kiberbűnözők piszkos játéka

A Foci EB és a 2024-es párizsi olimpiai játékok közeledtével az ESET biztonsági szakértői mutatnak 9+1 olyan esetet, amelyekben a kibertámadások áldozatai a sport szerelmesei voltak.

hirdetés
Közösség