Kötü niyetli aktörler, iki faktörlü kimlik doğrulama hizmeti kimlik otoritesinin kullanıcıları tarafından kullanılan 33 milyondan fazla telefon numarasını çalmayı başardılar.
Authy, uygulamalar ve çevrimiçi hizmetler için kimlik doğrulama kodlarını yönetmek için popüler bir güvenlik uygulamasıdır. Kodların ikinci bir kimlik doğrulama aşamasına girilmesi gerektiğinden, bunlar tabelaların güvenliğini artırır.
İşte kilit noktalar:
- Bir tehdit oyuncusu 33 milyon telefon numarasını içeren bir CSV metin dosyası sızdırdı.
- Liste, uygunsuz bir şekilde güvenli bir API uç noktası ile elde edildi.
- Saldırgan, API'yi kimlik sistemi tarafından bilindiği öğrenmek için çok sayıda telefon numarasını besledi.
- Saldırganlar telefon numaralarını SMS kimlik avı veya SIM değiştirme saldırılarında kullanabilir.
Authy'nin ana şirketi Twilio, verilerin ve hack'in özgünlüğünü doğruladı.Bapa Bilgisayar.
Şirket, saldırıda kullanılan son noktayı güvence altına aldığını açıkladı. Ayrıca önlem olarak Android ve iOS için bir güncelleme yayınladı.
Etkilenen kullanıcıların yapabileceği şey
Authy müşterileri, telefon numarası sızıntıya dahil edilirse arayamazlar. Tehdit aktörleri sadece telefon numarasıyla hiçbir şey yapamayacağı için doğrudan bir tehdit yoktur.
Ancak saldırılar mümkündür:
- SMS saldırılarıKullanıcıların kimlik doğrulama kodlarını paylaşmalarını veya cihazlarına kötü amaçlı yazılım indirmelerini sağlamak için.
- SIM Saldırı Saldırılarıek kişisel bilgiler gerektiren. Bunlar kurbanın hücresel sağlayıcısını içerir.
Saldırganlar, telefon numaralarını sahiplerine bağlamak için çevrimiçi aramalar veya diğer veritabanlarını kullanabilirler.
Authy'deki veriler bu noktada güvenlidir. Ancak bu ilk olay değil. 2022'de Twilio, veri ihlali yaşadığını doğruladı.
Bu size son birkaç yılda bir dizi hack ve sorundan acı çeken bir şifre yönetimi hizmeti olan LastPass'ı hatırlatıyorsa, tamamen yanlış değilsiniz.
Authy'den başka bir hizmete göç etmek
Authy ihracatı desteklemediğinden, göç basit değildir. Ageçici çözümMasaüstü uygulamasının eski bir sürümünü kullanan var, ancak Authy masaüstü programını durdurduğundan artık yakında çalışmayabilir.
Diğer tek seçenek verileri manuel olarak taşıma. Bu aşağıdaki adımları içerir:
- Authy'de kodların oluşturulduğu hizmete oturum açın.
- Tercihlerde 2FA'yı kapatın.
- Yeni Authenticator uygulamasını kullanarak bu kez tekrar 2FA'yı etkinleştirin.
Herhangi bir hizmet için adımları tekrarlayın ve geçiş tamamlandıktan sonra her birini silin. Bu, Authy'deki öğeye uzun süre dokunarak ve kaldır seçeneğini seçerek yapılır.
Alternatifler söz konusu olduğunda, Açık Kaynak Kimlik Doğrulama Aegis veya Bitwarden Authenticator hakkındaki incelemelerime göz atın.
Kelimeleri Kapatma
Geçmişte birkaç ihlalden acı çeken bir hizmete güveniyorsanız veya olmayan bir hizmete geçmeniz gerekir. LastPass müşterileri aynı soruyu geçmişte birkaç kez karşılaştı ve kimlik dışı müşterilerin kendilerine sorması gereken soru.
Göç edip etmediğiniz de size kalmış. Uygun ihracat seçeneklerinin eksikliği sayesinde rahatsız edicidir.
İLGİLİ:Bilgisayar korsanları 1Password verilerinizi çalabilir, 8.10.36'ya güncelleyebilir
Authenticator uygulamalarını kullanıyor musunuz? Eğer öyleyse, şu anda tercih ettiğiniz kişi hangisi?