I dati di un piccolo numero di utenti di Authy, un'app di autenticazione in due passaggi, sono stati rubati in un hack della società madre Twilio. Si tratta di un totale di 125 utenti, riferisce l'azienda.
Non si sa esattamente a quali dati potrebbero accedere gli aggressori, ma non si tratta di password, token o chiavi API, riporta Twilio. Con password e token, gli aggressori potrebbero generare codici per conto di tali utenti e ottenere l'accesso agli account. Se gli utenti non sono stati informati dalla società, Twilio afferma che non ci sono prove che gli aggressori possano accedere ai loro dati.
Authy è un'app per Android e iOS che consente l'accesso con l'autenticazione a due fattori e compete, ad esempio, con le app di autenticazione di Google e Microsoft. Twilio non dice quanti utenti ha Authy.
L'hacking è stato possibile perché i dipendenti erano caduti in un attacco di phishing mirato. I dipendenti hanno ricevuto un sms che li informava che una password era scaduta e la richiesta di crearne una nuova. Li hanno scambiati per messaggi del proprio reparto IT e quindi hanno fatto clic sui collegamenti.
La società indagherà sull'incidente e dirà di essere frustrata dal modo in cui stanno andando le cose. Ha anche contatti con fornitori americani per impedire che sia più possibile falsificare i messaggi di testo.