Förhöjd nätfiske­risk efter telefon­nummerläcka hos Authy

Företaget Twilio som ligger bakom den populära tvåfaktors­autentiserings­appen Authy har råkat läcka användares telefonnummer. Ryktet om en dataläcka uppstod förra veckan när den ökända hackergruppen Shinyhunters påstod sig ha kommit över 33 miljoner Authy-användares telefonnummer. I början av veckan bekräftade Twilio att en dataläcka hade inträffat, men de nämnde ingenting om antalet berörda användare.

Twilio has detected that threat actors were able to identify data associated with Authy accounts, including phone numbers, due to an unauthenticated endpoint. We have taken action to secure this endpoint and no longer allow unauthenticated requests. We have seen no evidence that the threat actors obtained access to Twilio’s systems or other sensitive data.

(Ur Twilios pressmeddelande 2024-07-01)

Detta uttalande, i kombination med rapporteringen från Techcrunch och Bleeping Computer, antyder att det rör sig om en dataskrapning. Angriparna lär ha utgått från en lista med telefonnummer och testat vilka av numren som har koppling till Authy-konton.

Det finns alltså ingenting som tyder på att angriparna har kommit över några tvåfaktors­autentiserings­hemligheter (Shinyhunters påstår inte heller det). Däremot förekommer en förhöjd risk för nätfiskeattacker.

Förhöjd risk för nätfiskeattacker

Nu har angripare tillgång till en lista över kända Authy-användare. Risken är att angriparna utnyttjar denna kännedom för att utföra nätfiske­attacker och lura av användarna mer information. Angriparna kan exempelvis påstå sig ringa från Twilio eller skicka falska SMS med Authy som användare.

Twilio varnar uttryckligen för den här risken.

While Authy accounts are not compromised, threat actors may try to use the phone number associated with Authy accounts for phishing and smishing attacks; we encourage all Authy users to stay diligent and have heightened awareness around the texts they are receiving.

(Ur Twilios pressmeddelande 2024-07-01)

Rekommendation

Ignorera eventuella instruktioner som ser ut att komma från Authy via SMS. Samma sak gäller ifall någon ringer och påstår sig representera Twilio. Följ enbart uppmaningar som Twilio publicerar på den officiella webbplatsen eller inuti Authy-appen.

Jag nämnde incidenten i veckans poddavsnitt. Eftersom Authy är en app som vi har rekommenderat i podden flera gånger publicerar jag också informationen i den här artikeln. Incidenten förändrar inte rekommendationen av Authy. Däremot har sedan tidigare 2FAS tagit över platsen som den främst rekommenderade tvåfaktors­autentiserings­appen och Ente är för närvarande under närmare utvärdering. Lyssna på poddavsnitt 232 för mer information om 2FAS och poddavsnitt 254 för mer information om Ente.

Det är oklart om angriparna skrapade några svenska Authy-användares telefonnummer och hur många svenska telefonnummer som i så fall påverkas.

I Twilios pressmeddelande uppmanar de alla Authy-användare att uppdatera till den senaste appversionen. Twilio förklarar dock inte varför och enligt ändringsloggen för IOS-appen åtgärdar den senaste app­uppdateringen enbart ospecificerade buggar. Jag har bett Twilios pressavdelning att förtydliga denna till synes irrelevanta uppmaning. Jag uppdaterar artikeln om eller när jag har fått svar.

Uppdatering 2024-07-08: Twilios presstalesperson ignorerade frågan med en svepande kommentar. ”As a precaution, we are requesting all Authy users to update to the latest Android and iOS apps for the latest security updates and encourage all Authy users to stay diligent and have heightened awareness around phishing and smishing attacks.”