هجوم على تطبيق Authy يكشف عن أرقام هواتف 33 مليون مستخدم، وزيادة مخاطر الهجمات التصيدية

هجوم على تطبيق Authy الشهير للتحقق الثنائي (2FA) أدى إلى حصول المخترق على أرقام هواتف 33 مليون مستخدم، مما يعرضهم لخطر متزايد من الهجمات التصيدية. أكدت شركة Twilio المطورة لهذا التطبيق الاختراق وطلبت من المستخدمين اتخاذ احتياطات إضافية.

تطبيق Authy هو أحد التطبيقات الأكثر شعبية للتحقق الثنائي على متجر التطبيقات. عندما تقوم بتسجيل الدخول إلى موقع أو خدمة، ستطلب منك إدخال رمز مرور يتم إنشاؤه بواسطة التطبيق.

المخترق زعم الأسبوع الماضي أنه حصل على أرقام هواتف 33 مليون مستخدم لـ Authy، وأكدت Twilio هذا الاختراق، لكنها لم تحدد عدد الحسابات المتأثرة.

اكتشفت Twilio أن المهاجمين كانوا قادرين على الوصول إلى بيانات مرتبطة بحسابات Authy، بما في ذلك أرقام الهواتف، بسبب وجود نقطة نهاية غير مصادق عليها.

قمنا باتخاذ إجراءات لتأمين هذه النقطة ولم نعد نسمح بطلبات غير مصادق عليها. لم نر أي دليل على أن المهاجمين حصلوا على الوصول إلى أنظمة Twilio أو بيانات حساسة أخرى.

الشركة تطلب من جميع المستخدمين تحديث التطبيق إلى أحدث إصدار والبقاء في حالة تأهب لرسائل النص المشبوهة.

كإجراء احترازي، نطلب من جميع مستخدمي Authy تحديث التطبيقات على نظامي Android وiOS لأحدث التحديثات الأمنية. بينما لم يتم اختراق حسابات Authy، قد يحاول المهاجمون استخدام أرقام الهواتف المرتبطة بحسابات Authy لهجمات التصيد والتهديدات النصية؛ نحث جميع مستخدمي Authy على البقاء يقظين وزيادة الوعي حول الرسائل النصية التي يتلقونها.

الخطر الأكبر هنا هو أن المهاجم يعرف الآن ثلاثة أشياء عنك:

رقم هاتفك
أنك تستخدم التحقق الثنائي
أنك تستخدم تحديدًا Authy

يمكن للمهاجم استخدام هذه المعلومات لإنشاء رسائل نصية مقنعة، مثل رسالة من إحدى خدماتك تخبرك بوجود مشكلة في التحقق الثنائي وتطلب منك إعادة تعيينه، أو تدعي أنها من Twilio.

ذكرت TechCrunch أن نفس المخترق يُعتقد أنه وراء حملة تصيد أدت إلى سرقة حوالي 10,000 تسجيل دخول لموظفين عبر عدة شركات مختلفة.

كانت الهجمات التصيدية أيضًا وراء خرق بيانات Evolve، الذي ربما أثر على المعلومات الشخصية الحساسة لعملاء Wise وشركات التكنولوجيا المالية الأخرى.

هذه هي المرة الثانية في الأسابيع الأخيرة التي نشهد فيها ضعفًا أمنيًا في شركة للأمن السيبراني، بعد تعرض خدمة التحقق من الهوية التي تستخدمها العديد من الشركات التكنولوجية الكبرى للاختراق. المطور لتطبيق التحقق الثنائي هو أيضًا في قائمة الشركات التي لا نرغب في رؤيتها تتعرض للاختراق.