33 millions de numéros de téléphone exposés lors d'une importante violation de données par Authy
Authy est une application tierce populaire d'authentification à deux facteurs qui a été rachetée par Twilio (une société de communications en nuage basée à San-Francisco) en 2015. Le 1er juillet 2024, Twilio a confirmé dans un billet de blog que les numéros de téléphone de ses clients avaient été divulgués lors d'une violation de données associée à Authy. Selon l'article, la violation a été causée par un "point de terminaison non authentifié" qui a permis aux attaquants d'identifier les numéros de téléphone. Un point de terminaison non authentifié, par exemple, serait comme une porte arrière d'un bâtiment sécurisé que n'importe qui pourrait franchir sans clé d'authentification. Twilio a également assuré à ses utilisateurs qu'aucun mot de passe, aucun code d'authentification à deux facteurs, ni aucun autre détail de compte n'avait été compromis.
Dès à présent, les utilisateurs actuels d'Authy doivent faire preuve d'une vigilance accrue à l'égard des escroqueries potentielles de type phishing et smishing. Ces escroqueries impliquent souvent que des attaquants envoient des messages texte ou passent des appels en se faisant passer pour des entreprises légitimes dans le but de voler des identifiants de connexion ou d'autres informations sensibles. Bien que le billet de Twilio ne précise pas exactement combien de comptes ont été touchés, TechCrunch indique que 33 millions de numéros de téléphone ont été volés. Le ou les pirates ShinyHunters auraient revendiqué l'attaque sur un forum de piratage.
Twilio a également demandé aux utilisateurs d'Authy de mettre rapidement à jour l'application (Android v25.1.0 ou version ultérieure, iOS v26.1.0 ou version ultérieure). En outre, les utilisateurs sont encouragés à se méfier des textes ou appels non sollicités demandant des informations de connexion. Pour un niveau de sécurité supplémentaire, les utilisateurs peuvent envisager d'utiliser une clé matérielle pour l'authentification à deux facteurs, ou de passer à une application différente, comme Google Authenticator.
Source(s)
Twilio via TechCrunch
