Hacker lạm dụng API để xác minh hàng triệu số điện thoại đăng ký xác thực đa yêu tố Authy

14:00 | 29/07/2024 | HACKER / MALWARE

Công ty cung cấp dịch vụ Communication APIs Twilio (Mỹ) đã xác nhận rằng một API không bảo mật đã cho phép các tác nhân đe dọa xác minh số điện thoại của hàng triệu người dùng xác thực đa yếu tố Authy, khiến họ có khả năng bị tấn công lừa đảo qua tin nhắn SMS và tấn công hoán đổi SIM.

Hacker lạm dụng API để xác minh hàng triệu số điện thoại đăng ký xác thực đa yêu tố Authy

Authy là ứng dụng di động tạo mã xác thực đa yếu tố tại các trang web mà người dùng đã bật MFA.

Vào cuối tháng 6, một tác nhân đe dọa có tên ShinyHunters đã rò rỉ một tệp CSV chứa thông tin mà họ cho là 33 triệu số điện thoại đã đăng ký với dịch vụ Authy, trong đó có ID tài khoản, số điện thoại, trạng thái tài khoản và số lượng thiết bị.

Twilio hiện đã xác nhận rằng kẻ tấn công đã tạo ra danh sách số điện thoại bằng một API không yêu cầu xác thực.

Twilio cho biết: "Twilio phát hiện ra rằng kẻ tấn công có thể xác định dữ liệu liên quan đến tài khoản Authy, bao gồm số điện thoại, do API chưa được xác thực. Chúng tôi đã hành động để bảo mật API này và không còn cho phép các yêu cầu chưa được xác thực nữa. Đồng thời, chúng tôi không phát hiện bằng chứng nào cho thấy những kẻ tấn công đã truy cập được vào hệ thống của Twilio hoặc dữ liệu nhạy cảm khác. Để phòng ngừa, chúng tôi yêu cầu tất cả người dùng Authy cập nhật lên ứng dụng Android và iOS mới nhất để có bản cập nhật bảo mật mới nhất và khuyến khích tất cả người dùng Authy luôn cảnh giác và nâng cao nhận thức về các cuộc tấn công lừa đảo và tin nhắn giả mạo."

Năm 2022, Twilio đã tiết lộ rằng công ty đã bị vi phạm vào tháng 6 và tháng 8 , cho phép kẻ tấn công xâm nhập vào cơ sở hạ tầng và truy cập thông tin khách hàng của Authy.

Lạm dụng API không an toàn

Dữ liệu rò rỉ được tạo bằng cách truyền một danh sách lớn các số điện thoại vào API không an toàn. Nếu số điện thoại hợp lệ, API sẽ trả về thông tin về các tài khoản liên quan đã đăng ký với Authy.

Hiện API đã được bảo mật, nó không còn có thể bị lạm dụng để xác minh xem số điện thoại có được sử dụng với Authy hay không.

Kỹ thuật này tương tự như cách kẻ tấn công lợi dụng API Twitter và API Facebook không an toàn để xây dựng hồ sơ của hàng chục triệu người dùng có chứa cả thông tin công khai và không công khai.

Mặc dù dữ liệu thu thập được từ Authy chỉ chứa số điện thoại, chúng vẫn có thể có giá trị cho những đối tượng muốn thực hiện các cuộc tấn công lừa đảo và hoán đổi SIM để xâm phạm tài khoản.

Twilio hiện đã phát hành bản cập nhật bảo mật mới và khuyến nghị người dùng nâng cấp lên Authy Android (v25.1.0) và iOS App (v26.1.0) để được áp dụng bản cập nhật bảo mật.

Người dùng Authy cũng nên đảm bảo tài khoản di động của họ được cấu hình để chặn việc chuyển số mà không cần cung cấp mã xác thực (passcode) hoặc tắt tính năng bảo vệ (security protections).

Ngoài ra, người dùng Authy nên cảnh giác với các cuộc tấn công lừa đảo qua SMS tiềm ẩn nhằm đánh cắp dữ liệu nhạy cảm hơn, chẳng hạn như mật khẩu.

Bá Phúc

‹ › ×

Tin liên quan

Hơn 3.000 ứng dụng di động rò rỉ thông tin khóa Twitter API

13:00 | 10/08/2022

Các nhà nghiên cứu vừa phát hiện một danh sách gồm 3.207 ứng dụng, trong đó, một số ứng dụng có thể được sử dụng để truy cập trái phép vào tài khoản Twitter.

Cần có chiến lược bảo mật API toàn diện trong hệ sinh thái kỹ thuật số

09:00 | 05/09/2024

Trong bối cảnh nước ta đang thúc đẩy chuyển đổi số mạnh mẽ, Giao diện lập trình ứng dụng (Application Programming Interface -API) ngày càng được sử dụng rộng rãi, bao gồm các ứng dụng di động, dịch vụ đám mây và thiết bị IoT. Khi việc sử dụng API tăng lên, tổ chức phải đối mặt với nhiều mối đe dọa bảo mật tiềm ẩn liên quan đến API như tấn công chèn mã (Injection), vượt qua cơ chế xác thực và kiểm soát truy cập (Broken Access Control and Authentication) cũng như thực thi mã hóa không đầy đủ. Bài viết sẽ thông tin tới độc giả tầm quan trọng của bảo mật API, các loại tấn công vào API và một số giải pháp giúp bảo mật API toàn diện.

Twilio khai tử ứng dụng Authy dành cho máy tính để bàn

13:00 | 13/08/2024

Twilio đã khai tử ứng dụng Authy for Desktop, buộc người dùng phải đăng xuất khỏi ứng dụng trên máy tính để bàn.

Giải pháp Datadiode cho phép ứng dụng giữa hai vùng mạng kết nối sử dụng API

07:00 | 08/04/2024

Thiết bị truyền dữ liệu một chiều Datadiode có ý nghĩa quan trọng trong việc bảo đảm an toàn thông tin (ATTT) cho việc kết nối liên thông giữa các vùng mạng với nhau, đặc biệt giữa vùng mạng riêng, nội bộ với các vùng mạng bên ngoài kém an toàn hơn. Khi chủ trương xây dựng Chính phủ điện tử, Chính phủ số của Quân đội được quan tâm, đẩy mạnh phát triển. Việc liên thông các mạng với nhau, giữa mạng trong và mạng ngoài, giữa mạng truyền số liệu quân sự (TSLQS) và mạng Internet, giữa các hệ thống thông tin quân sự và cơ sở dữ liệu (CSDL) quốc gia về dân cư, bảo hiểm y tế và các CSDL dùng chung khác yêu cầu phải kết nối. Bài báo sẽ trình bày giải pháp truyền dữ liệu một chiều Datadiode cho phép các ứng dụng giữa hai vùng mạng kết nối sử dụng giao thức Webservice/RestAPI.

41% tổ chức gặp sự cố bảo mật API trong năm qua

07:00 | 20/05/2022

Trước làn sóng chuyển đổi kỹ thuật số, các giao diện chương trình ứng dụng web (API) đã tăng trưởng theo cấp số nhân khi sự gia tăng của các dịch vụ dựa trên web và thiết bị di động tích hợp đòi hỏi phải chia sẻ dữ liệu nhiều hơn đáng kể trên các sản phẩm.

Tin cùng chuyên mục

Apache OFBiz vá lỗ hổng nghiêm trọng cho phép thực thi mã từ xa

14:00 | 11/09/2024

Các nhà nghiên cứu bảo mật tại Rapid7 (Hoa Kỳ) phát hiện một lỗ hổng bảo mật mới trong hệ thống hoạch định nguồn lực doanh nghiệp (ERP) mã nguồn mở Apache OFBiz, có thể dẫn đến nguy cơ thực thi mã từ xa mà không cần xác thực trên các hệ điều hành như Linux và Windows.

Công ty dịch vụ dầu khí hàng đầu Mỹ Halliburton bị tấn công mạng

13:00 | 28/08/2024

Ngày 21/8, công ty dịch vụ dầu khí hàng dầu Mỹ Halliburton bị tấn công mạng, gây ảnh hưởng tới hoạt động kinh doanh và một số mạng kết nối toàn cầu.

Cảnh báo phần mềm độc hại BingoMod đánh cắp tiền và xóa sạch dữ liệu

13:00 | 13/08/2024

Các nhà nghiên cứu bảo mật tại Cleafy Labs (Italy) phát hiện ra một phần mềm độc hại Android mang tên BingoMod nguy hiểm, có thể đánh cắp tiền và xóa sạch dữ liệu của người dùng.

Tin tặc mạo danh Apple để đánh cắp thông tin đăng nhập

08:00 | 12/07/2024

Mới đây, công ty bảo mật Symantec đã đưa ra cảnh báo về một cuộc tấn công mới, lừa người dùng đến các trang web giả mạo và yêu cầu cung cấp thông tin Apple ID. Những thông tin xác thực này cho phép tin tặc kiểm soát các thiết bị, truy cập thông tin cá nhân và tài chính.