33 millones de números de teléfono expuestos en una importante violación de datos de Authy
Authy es una popular aplicación autenticadora de dos factores de terceros que fue adquirida por Twilio (una empresa de comunicaciones en la nube con sede en San Francisco) en 2015. El 1 de julio de 2024, Twilio confirmó en una entrada de blog que se habían filtrado números de teléfono de clientes en una filtración de datos asociada con Authy. Según el post, la brecha fue causada por un "punto final no autenticado" que permitió a los atacantes identificar números de teléfono. Un punto final no autenticado, por ejemplo, sería como una puerta trasera de un edificio seguro por la que cualquiera podría entrar sin una clave de autenticación. Twilio aseguró además a sus usuarios que ninguna contraseña, semilla de autenticación de dos factores u otros detalles de la cuenta se vieron comprometidos.
A partir de ahora, los usuarios existentes de Authy deben estar muy atentos contra posibles estafas de phishing y smishing. Estas estafas suelen implicar a atacantes que envían mensajes de texto o realizan llamadas haciéndose pasar por empresas legítimas en un intento de robar credenciales de inicio de sesión u otra información confidencial. Aunque la entrada del blog de Twilio no especificaba exactamente cuántas cuentas se vieron afectadas, TechCrunch afirma que se robaron 33 millones de números de teléfono. Al parecer, el hacker o hackers ShinyHunters reivindicaron la autoría del ataque en un foro de piratería informática.
Twilio también ha pedido a los usuarios de Authy que actualicen rápidamente la aplicación (Android v25.1.0 o posterior, iOS v26.1.0 o posterior). Además, se recomienda a los usuarios que desconfíen de los mensajes de texto o llamadas no solicitados en los que se les pida información para iniciar sesión. Para una capa adicional de seguridad, los usuarios pueden considerar el uso de una llave de hardware para la autenticación de dos factores, o cambiar a una aplicación completamente diferente, como Google Authenticator.
Fuente(s)
Twilio vía TechCrunch
