Hacker lạm dụng API để xác minh hàng triệu số điện thoại đăng ký xác thực đa yêu tố Authy

14:00 | 29/07/2024 | HACKER / MALWARE

Công ty cung cấp dịch vụ Communication APIs Twilio (Mỹ) đã xác nhận rằng một API không bảo mật đã cho phép các tác nhân đe dọa xác minh số điện thoại của hàng triệu người dùng xác thực đa yếu tố Authy, khiến họ có khả năng bị tấn công lừa đảo qua tin nhắn SMS và tấn công hoán đổi SIM.

Hacker lạm dụng API để xác minh hàng triệu số điện thoại đăng ký xác thực đa yêu tố Authy

Authy là ứng dụng di động tạo mã xác thực đa yếu tố tại các trang web mà người dùng đã bật MFA.

Vào cuối tháng 6, một tác nhân đe dọa có tên ShinyHunters đã rò rỉ một tệp CSV chứa thông tin mà họ cho là 33 triệu số điện thoại đã đăng ký với dịch vụ Authy, trong đó có ID tài khoản, số điện thoại, trạng thái tài khoản và số lượng thiết bị.

Twilio hiện đã xác nhận rằng kẻ tấn công đã tạo ra danh sách số điện thoại bằng một API không yêu cầu xác thực.

Twilio cho biết: "Twilio phát hiện ra rằng kẻ tấn công có thể xác định dữ liệu liên quan đến tài khoản Authy, bao gồm số điện thoại, do API chưa được xác thực. Chúng tôi đã hành động để bảo mật API này và không còn cho phép các yêu cầu chưa được xác thực nữa. Đồng thời, chúng tôi không phát hiện bằng chứng nào cho thấy những kẻ tấn công đã truy cập được vào hệ thống của Twilio hoặc dữ liệu nhạy cảm khác. Để phòng ngừa, chúng tôi yêu cầu tất cả người dùng Authy cập nhật lên ứng dụng Android và iOS mới nhất để có bản cập nhật bảo mật mới nhất và khuyến khích tất cả người dùng Authy luôn cảnh giác và nâng cao nhận thức về các cuộc tấn công lừa đảo và tin nhắn giả mạo."

Năm 2022, Twilio đã tiết lộ rằng công ty đã bị vi phạm vào tháng 6 và tháng 8 , cho phép kẻ tấn công xâm nhập vào cơ sở hạ tầng và truy cập thông tin khách hàng của Authy.

Lạm dụng API không an toàn

Dữ liệu rò rỉ được tạo bằng cách truyền một danh sách lớn các số điện thoại vào API không an toàn. Nếu số điện thoại hợp lệ, API sẽ trả về thông tin về các tài khoản liên quan đã đăng ký với Authy.

Hiện API đã được bảo mật, nó không còn có thể bị lạm dụng để xác minh xem số điện thoại có được sử dụng với Authy hay không.

Kỹ thuật này tương tự như cách kẻ tấn công lợi dụng API Twitter và API Facebook không an toàn để xây dựng hồ sơ của hàng chục triệu người dùng có chứa cả thông tin công khai và không công khai.

Mặc dù dữ liệu thu thập được từ Authy chỉ chứa số điện thoại, chúng vẫn có thể có giá trị cho những đối tượng muốn thực hiện các cuộc tấn công lừa đảo và hoán đổi SIM để xâm phạm tài khoản.

Twilio hiện đã phát hành bản cập nhật bảo mật mới và khuyến nghị người dùng nâng cấp lên Authy Android (v25.1.0) và iOS App (v26.1.0) để được áp dụng bản cập nhật bảo mật.

Người dùng Authy cũng nên đảm bảo tài khoản di động của họ được cấu hình để chặn việc chuyển số mà không cần cung cấp mã xác thực (passcode) hoặc tắt tính năng bảo vệ (security protections).

Ngoài ra, người dùng Authy nên cảnh giác với các cuộc tấn công lừa đảo qua SMS tiềm ẩn nhằm đánh cắp dữ liệu nhạy cảm hơn, chẳng hạn như mật khẩu.

Bá Phúc

‹ › ×

Tin liên quan

Cần có chiến lược bảo mật API toàn diện trong hệ sinh thái kỹ thuật số

09:00 | 05/09/2024

Trong bối cảnh nước ta đang thúc đẩy chuyển đổi số mạnh mẽ, Giao diện lập trình ứng dụng (Application Programming Interface -API) ngày càng được sử dụng rộng rãi, bao gồm các ứng dụng di động, dịch vụ đám mây và thiết bị IoT. Khi việc sử dụng API tăng lên, tổ chức phải đối mặt với nhiều mối đe dọa bảo mật tiềm ẩn liên quan đến API như tấn công chèn mã (Injection), vượt qua cơ chế xác thực và kiểm soát truy cập (Broken Access Control and Authentication) cũng như thực thi mã hóa không đầy đủ. Bài viết sẽ thông tin tới độc giả tầm quan trọng của bảo mật API, các loại tấn công vào API và một số giải pháp giúp bảo mật API toàn diện.

Hơn 3.000 ứng dụng di động rò rỉ thông tin khóa Twitter API

13:00 | 10/08/2022

Các nhà nghiên cứu vừa phát hiện một danh sách gồm 3.207 ứng dụng, trong đó, một số ứng dụng có thể được sử dụng để truy cập trái phép vào tài khoản Twitter.

Twilio khai tử ứng dụng Authy dành cho máy tính để bàn

13:00 | 13/08/2024

Twilio đã khai tử ứng dụng Authy for Desktop, buộc người dùng phải đăng xuất khỏi ứng dụng trên máy tính để bàn.

Người dùng cần cảnh giác với các số điện thoại lừa đảo

09:00 | 24/01/2025

Thời gian qua xuất hiện nhiều đối tượng giả mạo công an gọi đến người dân để hướng dẫn làm tài khoản định danh, thông báo vi phạm để lừa đảo chiếm đoạt tài sản. Các nhà mạng cảnh báo khách hàng sử dụng điện thoại nên cảnh giác với các cuộc gọi nhỡ quốc tế, số điện thoại lừa đảo.

Giải pháp Datadiode cho phép ứng dụng giữa hai vùng mạng kết nối sử dụng API

07:00 | 08/04/2024

Thiết bị truyền dữ liệu một chiều Datadiode có ý nghĩa quan trọng trong việc bảo đảm an toàn thông tin (ATTT) cho việc kết nối liên thông giữa các vùng mạng với nhau, đặc biệt giữa vùng mạng riêng, nội bộ với các vùng mạng bên ngoài kém an toàn hơn. Khi chủ trương xây dựng Chính phủ điện tử, Chính phủ số của Quân đội được quan tâm, đẩy mạnh phát triển. Việc liên thông các mạng với nhau, giữa mạng trong và mạng ngoài, giữa mạng truyền số liệu quân sự (TSLQS) và mạng Internet, giữa các hệ thống thông tin quân sự và cơ sở dữ liệu (CSDL) quốc gia về dân cư, bảo hiểm y tế và các CSDL dùng chung khác yêu cầu phải kết nối. Bài báo sẽ trình bày giải pháp truyền dữ liệu một chiều Datadiode cho phép các ứng dụng giữa hai vùng mạng kết nối sử dụng giao thức Webservice/RestAPI.

41% tổ chức gặp sự cố bảo mật API trong năm qua

07:00 | 20/05/2022

Trước làn sóng chuyển đổi kỹ thuật số, các giao diện chương trình ứng dụng web (API) đã tăng trưởng theo cấp số nhân khi sự gia tăng của các dịch vụ dựa trên web và thiết bị di động tích hợp đòi hỏi phải chia sẻ dữ liệu nhiều hơn đáng kể trên các sản phẩm.

Tin cùng chuyên mục

Cảnh báo biến thể mới của phần mềm đánh cắp thông tin Banshee Stealer nhắm vào người dùng macOS

09:00 | 24/01/2025

Nhiều người dùng macOS cho rằng kiến trúc dựa trên Unix của nền tảng này và thị phần sử dụng thấp hơn so với Windows, khiến nó trở thành mục tiêu kém hấp dẫn đối với tội phạm mạng và do đó có khả năng ít bị lây nhiễm phần mềm độc hại. Mặc dù macOS có bao gồm các tính năng bảo mật mạnh mẽ như Gatekeeper, XProtect và sandbox, nhưng sự gia tăng hoạt động gần đây của phần mềm đánh cắp thông tin Banshee đóng vai trò như một lời nhắc nhở rằng không có hệ điều hành nào miễn nhiễm với các mối đe dọa.

Tin tặc đã đánh cắp 994TB dữ liệu người dùng trong năm 2024

12:00 | 14/01/2025

Trong thời đại kỹ thuật số, dữ liệu và thông tin cá nhân được xem như nguồn tài nguyên vô cùng quan trọng, đó là lý do tin tặc luôn tìm cách đánh cắp dữ liệu người dùng. Theo một báo cáo của công ty an ninh mạng CloudSEK (Ấn Độ), tin tặc đã đánh cắp lượng dữ liệu người dùng khổng lồ trong năm 2024.

Apache NiFi tồn tại lỗ hổng cho phép truy cập trái phép thông tin nhạy cảm

09:00 | 08/01/2025

Apache NiFi - hệ thống xử lý và phân phối dữ liệu đang đối mặt với một lỗ hổng định danh CVE-2024-56512, có thể cho phép truy cập trái phép vào thông tin nhạy cảm. Lỗ hổng này ảnh hưởng đến tất cả các phiên bản NiFi từ 1.10.0 đến 2.0.0.

Microsoft phá vỡ cơ sở hạ tầng của dịch vụ lừa đảo ONNX

11:00 | 29/11/2024

Microsoft đã thu giữ 240 tên miền được khách hàng của nền tảng dịch vụ lừa đảo qua mạng ONNX sử dụng để nhắm vào các cá nhân và tổ chức của Mỹ và trên toàn thế giới kể từ năm 2017.