L’application d’authentification forte Authy victime d’une fuite de données
La société américaine Twilio a confirmé, le 1er juillet 2024, que son application d’authentification à double facteur Authy avait été victime d’une fuite de données. La semaine précédente, le groupe cybercriminel ShinyHunters avait publié, sur un forum du dark net, un fichier CSV contenant des informations sur plus de 33 millions de comptes Authy.
Dans le détail, le fichier comporte 33 420 546 lignes, avec, pour chacune, un identifiant, le numéro de téléphone associé, l’état du compte et le nombre d’appareils reliés à l’identifiant. Twilio a indiqué qu’une faille dans une API, corrigée depuis, avait permis aux cybercriminels de dérober ces données. La firme recommande aux utilisateurs d’Authy de mettre à jour leurs appareils.
L’éditeur assure n’avoir « vu aucune preuve » que les pirates aient eu accès « aux systèmes de Twilio ou à d’autres données sensibles ». Les informations ayant fuité restent toutefois très problématiques. Elles pourraient favoriser des attaques par phishing, notamment par smishing, ou des arnaques à l’échange de la carte SIM.
En 2022, Twilio avait déjà subi une grave violation de données, qui avait conduit à une vaste campagne de hameçonnage, baptisée « 0ktapus ». Cette dernière avait débouché sur le vol de plus de 10 000 identifiants d’employés d’au moins 136 organisations, dont Signal, Cloudflare, DoorDash et Okta.