La semaine dernière, un pirate informatique a affirmé avoir volé 33 millions de numéros de téléphone au géant américain de la messagerie Twilio. Mardi, Twilio a confirmé à fr.techtribune.netque les « acteurs de la menace » étaient en mesure d’identifier le numéro de téléphone des personnes qui utilisent Authy, une application d’authentification à deux facteurs populaire appartenant à Twilio.
Dans un message sur un forum de piratage bien connu, le ou les pirates connus sous le nom de ShinyHunters ont écrit qu’ils avaient piraté Twilio et obtenu les numéros de téléphone portable de 33 millions d’utilisateurs.
Le porte-parole de Twilio, Kari Ramirez, a déclaré à fr.techtribune.netque la société « a détecté que les acteurs de la menace étaient en mesure d’identifier les données associées aux comptes Authy, y compris les numéros de téléphone, en raison d’un point de terminaison non authentifié. Nous avons pris des mesures pour sécuriser ce point de terminaison et ne plus autoriser les demandes non authentifiées.
« Nous n’avons vu aucune preuve que les acteurs de la menace aient obtenu l’accès aux systèmes de Twilio ou à d’autres données sensibles. Par précaution, nous demandons à tous les utilisateurs d’Authy de mettre à jour les dernières applications android et iOS pour les dernières mises à jour de Sécurité et encourageons tous les utilisateurs d’Authy à rester diligents et à être plus conscients des attaques de phishing et de smishing », a écrit Ramirez dans un e-mail.
Twilio aussi publié une alerte sur son site officiel lundi, y compris la même déclaration.
Bien que l’obtention d’une liste de numéros de téléphone – en soi – puisse ne pas sembler être la plus dangereuse des violations de données, elle pourrait tout de même constituer une menace pour les propriétaires de ces numéros.
« Si les attaquants sont capables d’énumérer une liste de numéros de téléphone d’utilisateurs, alors ces attaquants peuvent se faire passer pour Authy/Twilio pour ces utilisateurs, augmentant la crédibilité d’une attaque de phishing à ce numéro de téléphone », a déclaré Rachel Tobac, experte en ingénierie sociale et PDG de SocialProof Security, à TechCrunch.
Tobac a expliqué que les pirates peuvent désormais cibler spécifiquement les personnes qu’ils savent être des utilisateurs d’Authy, ce qui donne aux attaquants une chance de faire croire que leurs messages malveillants proviennent réellement d’Authy et de Twilio.
En 2022, Twilio a subi une violation de données plus importante, lorsqu’un groupe de pirates informatiques a accédé aux données de plus de 100 entreprises clientes. Armés de ces informations, les pirates ont ensuite lancé une vaste campagne de phishing qui a entraîné le vol d’environ 10 000 informations d’identification d’employés d’au moins 130 entreprises. Dans le cadre de cette brèche à l’époque, Twilio a déclaré que les pirates avaient ciblé avec succès 93 utilisateurs individuels d’Authy et avaient pu enregistrer des appareils supplémentaires sur les comptes Authy de ces victimes, leur permettant de voler efficacement de vrais codes à deux facteurs.
