News

Authy offenbart Telefonnummern von 33 Millionen Nutzer:innen

Eine Situation bei Authy hat dazu geführt, dass die Telefonnummern von 33 Millionen Nutzer:innen der beliebten 2FA-Sicherheitsapp in die Hände von Angreifer:innen gelangt sind. Diese Entwicklung erhöht das Risiko von Phishing-Angriffen erheblich.

Twilio bestätigt den Vorfall

Twilio, der Entwickler von Authy, hat den Sicherheitsvorfall bestätigt und fordert die Nutzer:innen auf, zwei wichtige Vorsichtsmaßnahmen zu treffen. Bei der Zwei-Faktor-Authentifizierung (2FA) wird bei der Anmeldung zusätzlich zu den Anmeldedaten ein einmaliges Passwort abgefragt, das von einer App generiert wird. Authy ist eine der beliebtesten 2FA-Apps im App Store.

Ein:e Hacker:in behauptete letzte Woche, die Telefonnummern von 33 Millionen Authy-Nutzer:innen erbeutet zu haben. Twilio hat dies nun bestätigt, ohne die genaue Anzahl der betroffenen Konten zu nennen. Die Bedrohungsakteure konnten Daten im Zusammenhang mit Authy-Konten, einschließlich Telefonnummern, aufgrund eines nicht authentifizierten Endpunkts identifizieren. Twilio hat Maßnahmen ergriffen, um diesen Endpunkt zu sichern und erlaubt keine nicht authentifizierten Anfragen mehr. Es gibt keine Hinweise darauf, dass die Angreifer:innen Zugriff auf Twilios Systeme oder andere sensible Daten erhalten haben.

Maßnahmen und Vorsichtsmaßnahmen

Der Entwickler fordert alle Nutzer:innen auf, die neueste Version der App zu installieren und aufmerksam auf verdächtige Textnachrichten zu reagieren.

“Als Vorsichtsmaßnahme bitten wir alle Authy-Nutzer:innen, die neuesten Android- und iOS-Apps zu aktualisieren, um die neuesten Sicherheitsupdates zu erhalten. Auch wenn Authy-Konten nicht kompromittiert wurden, könnten Bedrohungsakteure die Telefonnummern der Authy-Konten für Phishing- und Smishing-Angriffe nutzen. Wir empfehlen allen Authy-Nutzer:innen, wachsam zu bleiben und ein erhöhtes Bewusstsein für die empfangenen Nachrichten zu entwickeln.”

Die größte Gefahr besteht darin, dass ein:e Angreifer:in nun drei Dinge über Dich weiß:

  • Deine Telefonnummer
  • Dass Du 2FA verwendest
  • Dass Du speziell Authy nutzt

Diese Informationen können genutzt werden, um überzeugende Texte zu erstellen, die beispielsweise vorgeben, von einem Deiner Dienste zu stammen und ein Problem mit der Zwei-Faktor-Authentifizierung melden oder behaupten, von Twilio zu sein.

Hintergrund und weitere Risiken

TechCrunch berichtet, dass derselbe Hacker hinter einer Phishing-Kampagne stecken soll, bei der die Anmeldedaten von rund 10.000 Mitarbeiter:innen verschiedener Unternehmen gestohlen wurden. Ein Phishing-Angriff war auch die Ursache für den Evolve-Datenverstoß, bei dem wahrscheinlich sensible persönliche Informationen von Kund:innen von Wise und anderen Fintech-Unternehmen kompromittiert wurden.

Dies ist das zweite Mal in den letzten Wochen, dass eine Sicherheitslücke bei einem Cybersicherheitsunternehmen aufgetreten ist, nachdem die Foto-IDs eines Identitätsverifizierungsdienstes, der von vielen Tech-Giganten genutzt wird, offengelegt wurden. Ein Angriff auf den Entwickler einer 2FA-App steht ebenfalls weit oben auf der Liste der Unternehmen, die man nicht gehackt sehen möchte.

Update und Anmerkung der Redaktion: Twilio hat uns darauf aufmerksam gemacht, dass es sich nicht um einen „Hack“ handelt und wir diese Begriffe aus dem Titel und dem Text entfernen sollen. Außerdem hat man uns folgendes Statement geschickt:

Twilio hat festgestellt, dass unbekannte Personen aufgrund eines nicht authentifizierten Endpunkts in der Lage waren, Daten in Verbindung mit Authy-Konten, einschließlich Telefonnummern, zu identifizieren. Wir haben Maßnahmen ergriffen, um diesen Endpunkt zu sichern und lassen keine unauthentifizierten Anfragen mehr zu. Wir haben keine Hinweise darauf, dass die unbekannten Täter in die Systeme von Twilio eingedrungen sind oder sich Zugang zu den Systemen von Twilio oder anderen sensiblen internen Daten verschafft haben. Als Vorsichtsmaßnahme empfehlen wir alle Authy-Benutzer, die neuesten Sicherheitsupdates für Android- und iOS-Apps zu installieren, und raten allen Authy-Benutzern, auf Phishing- und Smishing-Attacken zu achten und ein erhöhtes Bewusstsein zu haben.

Wir verstehen die Ansicht von Twilio, dass es sich nicht um einen „Hack“ im eigentlichen Sinne handelt. Man kann hier durchaus unterschiedlicher Ansicht sein. Wenn man auf Nutzer:innen-Daten zugreift (über welche Weise auch immer!), kann das auch durchaus als Hack bezeichnet werden. Wir haben aber entschieden, die Worte im Text und der Überschrift zu entfernen.

Quelle: 9To5Mac

Michael Reimann

Neueste Artikel

USA streichen Finanzierung für Apples CVE-Sicherheitsprogramm

Die zentrale Sicherheitsdatenbank Common Vulnerabilities and Exposures (CVE) war für kurze Zeit von der Schließung bedroht, da das US-Heimatschutzministerium (DHS) die Finanzierung…

18. April 2025

Windows-Spiele auf dem Mac: Entwickler stellt Projekt Whisky ein

Mit dem Ende des Open-Source-Softwareprojekts Whisky verliert die Mac-Community eine spannende Lösung, um Windows-Spiele auf Apple Silicon-Geräten ohne Portierungslösungen auszuführen. (mehr …)

18. April 2025

Apple Watch Challenge zum Earth Day 2025 angekündigt

Am 22. April 2025, dem internationalen Earth Day, lädt Apple erneut zu einer speziellen Apple Watch Herausforderung ein. (mehr …)

18. April 2025

Neue Bilder des angeblichen „Vision Air“-Kabels von Apple aufgetaucht

Ein mutmaßlich überarbeitetes Stromkabel für ein zukünftiges Apple-Headset mit dem Namen „Vision Air“ ist jetzt erstmals auf neuen Bildern zu…

18. April 2025

Mac mini 2018 und mehr: Diese Apple-Produkte sind jetzt „Vintage“

Apple hat die Liste seiner Vintage-Produkte aktualisiert. Neu hinzugekommen sind der Mac mini 2018 und das iPhone 6s. (mehr …)

18. April 2025

Beats hebt neue USB-C-Kabel in „Pill People“-Werbung hervor

Die Apple-Marke Beats hat einen neuen Werbespot veröffentlicht, der die kürzlich eingeführten USB-C-Kabel in den Mittelpunkt stellt. Der Spot ist…

17. April 2025

Diese Website benutzt Cookies um Ihr Nutzererlebnis zu verbessern. Wenn Sie diese Website weiter nutzen, gehen wir von Ihrem Einverständnis aus.

Mehr lesen