O provedor de comunicações em nuvem Twilio revelou que agentes de ameaças não identificados aproveitaram um endpoint não autenticado no Authy para identificar dados associados às contas do Authy, incluindo números de celular dos usuários.
A empresa disse que tomou medidas para proteger o endpoint e não aceitar mais solicitações não autenticadas.
O desenvolvimento ocorre dias depois de uma persona on-line chamada ShinyHunters publicar no BreachForums um banco de dados contendo 33 milhões de números de telefone supostamente extraídos de contas Authy.
Authy, de propriedade da Twilio desde 2015, é um aplicativo in style de autenticação de dois fatores (2FA) que adiciona uma camada adicional de segurança à conta.
“Não vimos nenhuma evidência de que os agentes da ameaça obtiveram acesso aos sistemas da Twilio ou outros dados confidenciais”, afirmou em um alerta de segurança de 1º de julho de 2024.
Mas, por precaução, a empresa recomenda que os usuários atualizem seus aplicativos Android (versão 25.1.0 ou posterior) e iOS (versão 26.1.0 ou posterior) para a versão mais recente.
Ele também alertou que os agentes de ameaças podem tentar usar o número de telefone associado às contas Authy para ataques de phishing e smishing.
“Incentivamos todos os usuários do Authy a permanecerem diligentes e a terem maior conscientização sobre as mensagens que recebem”, observou.
