Authy, una de las aplicaciones de autenticación en dos pasos (2FA) más populares del mundo ha sido hackeada y ha informado de una posible filtración de datos de considerable tamaño. Hace unos días, Twilio, la compañía matriz de Authy, informaba sobre una brecha en la seguridad del servicio que dejaba la puerta abierta a la consulta de datos personales de los usuarios.
¿Qué datos? Según la propia compañía, los actores del ataque han podido tener acceso a información personal de 33 millones de usuarios. Lo más relevante, de hecho, es que este contenido filtrado incluye los números de teléfono de las cuentas asociadas.
¿Quién ha tenido la culpa? La propia Authy ha asumido la responsabilidad indicando que han dejado una puerta abierta en un "punto final no autenticado" que permitía acceder a esta información. Ahora bien, se trata de una brecha, pero no hay evidencias de que la información haya sido sustraída por un hacker.
¿Está solucionado? Sí, Authy y Twilio han confirmado que ese punto final ya no es accesible sin estar autenticado y que, por lo tanto, la vulnerabilidad ya no existe. Eso sí, esto no quiere decir que el problema general esté solucionado, pues la compañía ha dado una serie de recomendaciones a los afectados.
¿Te afecta como usuario el hackeo a Authy?
Lamentablemente, la compañía no ha confirmado qué porcentaje de su cartera de clientes ha sido afectada. Se desconoce si esos 33 millones de datos son todos los usuarios de las apps para iOS y Android o solo una parte. Es una cifra considerablemente alta, por lo que cabe la posibilidad de que, si utilizas Authy, tu número de teléfono haya sido expuesto.
¿Es problemático? Cualquier filtración de datos personales siempre es algo malo, pero en este caso, no es alarmante. Authy no tiene información de tus inicios de sesión, por lo que no deberías tener problemas con tus contraseñas en los servicios que tengas asociados a esta doble autenticación.
En estos momentos, como bien indican desde 9to5mac, los posibles atacantes pueden saber 3 cosas sobre ti: que utilizas un servicio de doble autenticación, que este es Authy y tu número de teléfono.
Ten cuidado con las llamadas y los SMS
Dicho esto, la información que engloba esta filtración no es suficiente para entrar en tus cuentas o realizar un ataque personal, pero sí para intentar realizar estafas de phishing y smishing a través de tu bandeja de correo electrónico o mensajes SMS.
Si bien las cuentas de Authy no se ven comprometidas, los actores de amenazas pueden intentar usar el número de teléfono asociado con las cuentas de Authy para realizar ataques de phishing y smishing; alentamos a todos los usuarios de Authy a que sean diligentes y tengan mayor conciencia sobre los mensajes de texto que reciben.
Blog de Twilio
Es decir, que si eres usuario de Authy, la recomendación es actualizar a las últimas versiones en iOS y Android y tener cuidado con las comunicaciones que recibes. De hecho, estas últimas pueden ser verdaderamente convincentes gracias a los datos filtrados, por lo que ten especial cuidado con mensajes como el siguiente ejemplo:
"Tras el hackeo a nuestra app Authy es posible que tu información esté en peligro. Entra en el siguiente enlace y confirma tus datos para seguir utilizando la aplicación"
Los atacantes pueden tener tu número, saben que utilizas Authy y que ha habido un hackeo hace poco, por lo que ten mucho cuidado con qué tipo de enlaces abres desde tus dispositivos.
Desde Authy, se han puesto en contacto con la redacción de Hipertextual para compartir una actualización en su postura oficial sobre este tema.
"Twilio ha detectado que los autores de amenazas pudieron identificar datos asociados con cuentas Authy, incluidos números de teléfono, debido a un punto final no autenticado. Hemos tomado medidas para proteger este punto final y ya no permitimos solicitudes no autenticadas.
No hemos visto ninguna evidencia de que los actores de la amenaza hayan vulnerado los sistemas de Twilio o que hayan obtenido acceso a los sistemas de Twilio o a otros datos internos sensibles. Como medida de precaución, estamos solicitando a todos los usuarios de Authy que actualicen a las últimas aplicaciones de Android y iOS para obtener las últimas actualizaciones de seguridad y animamos a todos los usuarios de Authy a mantenerse diligentes y tener una mayor conciencia en torno a los ataques de phishing y smishing."
