Durch einen Hack bei der Zwei-Faktor-App Authy (App Store-Link) sind die Telefonnummern von 33 Millionen Nutzern an die Öffentlichkeit gelangt. Entwickler Twilio hat den Vorfall bestätigt und gibt Tipps, was zu tun ist.
Authy wird zum Abrufen von Zwei-Faktor-Codes, genau wie Google Authenticator, Microsoft Authenticator und ähnliche Apps für die zweistufige Verifizierung von Accounts oder zur Anmeldung auf Websites verwendet. Der Abruf von Zwei-Faktor-Codes ist auch im iCloud-Schlüsselbund, der kommenden Apple-Passwörter-App und allgemeinen Passwort-Apps wie 1Password integriert.
Darüber hinaus gibt auch spezialisierte Apps wie Authy: Die App liefert den richtigen Code, wenn man sich sicher bei einer Website oder einem Dienst anmelden möchte, und ist eine der beliebtesten 2FA-Apps im App Store. Glücklicherweise wurden die Zwei-Faktor-Codes von Authy nicht geleakt, aber möglicherweise die Telefonnummern von 33 Millionen Nutzern und Nutzerinnen. Zumindest behaupten das die oder der Hacker namens „ShinyHunters“ in einem Post eines bekannten Hacking-Forums; Twilio selbst hat keine Zahlen veröffentlicht.
Der Hacker behauptete bereits in der letzten Woche, an private Daten von Authy-Usern gelangt zu sein. Twilio hat nun in einem Blogbeitrag bestätigt, dass Daten im Zusammenhang mit Authy-Konten abgerufen worden sind. Das Entwicklerteam gibt nicht genau an, was passiert ist, aber spricht von einem „nicht authentifizierten Endpunkt“. Das Unternehmen hat nun aufgehört, solche nicht authentifizierten Anfragen zuzulassen, und sagt, dass dieser spezielle „Endpunkt“ jetzt gesichert ist.
App wurde mittlerweile auf Version 26.1.0 aktualisiert
Auch die Authy-App wurde inzwischen aktualisiert. Laut Twilio gibt es keine Hinweise darauf, dass der Hacker Zugang zu den Systemen des Unternehmens oder zu anderen sensiblen Daten als Telefonnummern erlangt haben. Man rät den Authy-Usern, auf die neueste Version der App zu aktualisieren und auf verdächtige Textnachrichten zu achten:
„Als Vorsichtsmaßnahme empfehlen wir allen Authy-Nutzern, die neuesten Sicherheitsupdates für die Android- und iOS-Apps zu installieren. Obwohl Authy-Konten nicht kompromittiert wurden, könnten böswillige Parteien versuchen, die mit Authy-Konten verbundene Telefonnummer für Phishing- und Smishing-Angriffe zu verwenden. Wir empfehlen allen Authy-Benutzern, wachsam zu bleiben und die Textnachrichten, die sie erhalten, genauer zu beobachten.“
Das größte Risiko besteht darin, dass ein Angreifer drei Dinge weiß: Die eigene Telefonnummer, die Verwendung einer Zwei-Faktor-Authentifizierung, und dass man dafür Authy nutzt. Auf dieser Grundlage können Angreifer eine überzeugend aussehende Textnachricht erstellen, die darüber informiert, dass es ein Problem mit der eigenen Zwei-Faktor-Authentifizierung gebe und man sie zurücksetzen müsse. Böswillige Akteure können auch den Eindruck erwecken, dass sie von Twilio sind, und zum Beispiel auffordern, generierte Zwei-Faktor-Codes weiterzuleiten, „um den Zugang zu Ihrem Konto wiederherzustellen“.
Twilio weist außerdem darauf hin, dass User, die nicht auf ihr Authy-Konto zugreifen können, sofort das Support-Team kontaktieren sollten. Es wird vermutet, dass derselbe Hacker hinter einer kürzlichen Phishing-Operation steckt, bei der rund 10.000 Anmeldedaten von Angestellten verschiedener Unternehmen erbeutet wurden.
Twilio Authy (Kostenlos, App Store) →
Der Beitrag Authy: 2FA-App gehackt und wohl 33 Millionen Telefonnummern entwendet erschien zuerst auf appgefahren.de.