Los datos de un pequeño número de usuarios de Authy, una aplicación de autenticación de dos pasos, fueron robados en un hackeo de la empresa matriz Twilio. Se trata de un total de 125 usuarios, informa la compañía.
Se desconoce exactamente a qué datos podrían acceder los atacantes, pero no se trata de contraseñas, tokens o claves API, informa Twilio. Con contraseñas y tokens, los atacantes podrían generar códigos en nombre de esos usuarios y obtener acceso a las cuentas. Si la empresa no ha notificado a los usuarios, Twilio dice que no hay evidencia de que los atacantes puedan acceder a sus datos.
Authy es una aplicación para Android e iOS que permite el acceso con autenticación de dos factores y compite, por ejemplo, con las aplicaciones de autenticación de Google y Microsoft. Twilio no dice cuántos usuarios tiene Authy.
El hackeo fue posible porque los empleados habían caído en un ataque de phishing dirigido. Los empleados recibieron un mensaje de texto informándoles que una contraseña había caducado y una solicitud para crear una nueva. Los confundieron con mensajes de su propio departamento de TI y, por lo tanto, hicieron clic en los enlaces.
La compañía investigará el incidente y dirá que está frustrada con la forma en que van las cosas. También tiene contacto con proveedores estadounidenses para que ya no sea posible falsificar los mensajes de texto.