🔥 Công Ty TNHH Thương Mại Dịch Vụ Đầu Tư AS đã đăng ký tín nhiệm. 🔥                    🔥 Công Ty TNHH TM DV Sài Gòn Hoàng Gia đã đăng ký tín nhiệm. 🔥                    🔥 Công ty tnhh giải pháp công nghệ và truyền thông KingNCT đã đăng ký tín nhiệm. 🔥                    🔥 Công ty luật hợp danh Cilaf & Partners đã đăng ký tín nhiệm. 🔥                    🔥 Tỉnh ủy Kiên Giang đã đăng ký tín nhiệm. 🔥                   

Gần 1.900 tài khoản Signal Messenger có khả năng đã bị xâm phạm do Twilio bị hack

16/08/2022

Thứ Hai vừa qua, dịch vụ nhắn tin mã hóa end-to-end nổi tiếng Signal đã tiết lộ về cuộc tấn công mạng nhằm vào Twilio vào đầu tháng này có thể đã làm lộ số điện thoại của khoảng 1.900 người dùng Signal.

Công ty cho biết "đối với 1.900 người dùng này, kẻ tấn công có thể đã đăng ký lại số điện thoại của họ trên một thiết bị khác hoặc xác định số của họ đã đăng ký với Signal", đồng thời khẳng định "tất cả người dùng có thể yên tâm rằng lịch sử tin nhắn, danh sách liên hệ, thông tin hồ sơ, danh sách chặn và dữ liệu cá nhân khác của họ vẫn được giữ an toàn và không bị ảnh hưởng".

Signal, sử dụng Twilio để gửi mã xác minh SMS khi người dùng đăng ký ứng dụng, cho biết họ đang cảnh báo trực tiếp đến những người dùng bị ảnh hưởng và nhắc họ đăng ký lại dịch vụ trên thiết bị của mình.

Sự việc diễn ra chưa đầy một tuần sau khi Twilio tiết lộ về vụ vi phạm xảy ra vào ngày 4 tháng 8, khiến dữ liệu liên quan đến khoảng 125 tài khoản khách hàng bị truy cập trái phép thông qua một cuộc tấn công lừa đảo đã lừa nhân viên công ty cung cấp thông tin đăng nhập của họ.

Trong trường hợp của Signal, kẻ tấn công được cho là đã lạm dụng quyền truy cập để tìm kiếm chính xác ba số điện thoại, sau đó đăng ký lại tài khoản với nền tảng nhắn tin bằng cách sử dụng một trong những số đó, do đó cho phép bên thứ 3 gửi và nhận tin nhắn từ số điện thoại đó.

Công ty khuyến nghị người dùng nên bật tính năng khóa đăng ký (registration lock)-biện pháp bảo mật bổ sung yêu cầu người dùng nhập mã PIN khi đăng ký một số điện thoại với dịch vụ Signal.

Cloudflare, từng bị nhắm mục tiêu không thành công bởi thủ đoạn lừa đảo tinh vi, cho biết việc sử dụng các khóa bảo mật vật lý được cấp cho mọi nhân viên đã giúp ngăn chặn cuộc tấn công.

Lừa đảo và các loại tấn công social engineering khác lợi dụng con người như một mắt xích yếu nhất để khai thác trong một vụ vi phạm. Nhưng sự cố này cho thấy các nhà cung cấp bên thứ ba cũng có thể gây ra nhiều rủi ro cho các công ty.

Sự cố này càng nhấn mạnh rủi ro khi sử dụng số điện thoại làm mã định danh duy nhất: kẻ xấu có thể thực hiện các cuộc tấn công chiếm đoạt tài khoản và giao dịch tiền bất hợp pháp thông qua tấn công tráo đổi SIM (SIM swapping).

Nguồn: thehackernews.com.

scrolltop