La nota piattaforma di messaggistica Signal ha recentemente comunicato che i numeri di telefono e i codici di verifica SMS di 1.900 clienti sono stati compromessi, agevolando potenzialmente l’accesso agli account da parte degli attaccanti.

Signal afferma inoltre che le chat storiche sulla sua app continuano a essere protette dalla crittografia e che ha adottato misure aggiuntive per prevenire ulteriori compromissioni.

Come è accaduto? Per la registrazione degli utenti sulla sua piattaforma di comunicazione, Signal utilizza i servizi di verifica del numero di telefono di Twilio (fornitore esterno). Ebbene Twilio ha subìto un attacco informatico (phishing e ingegneria sociale) che ha portato all’accesso illegale di alcuni dei suoi clienti. Ad oggi, non ci sono prove di accesso non autorizzato alle password dei clienti, ai token di autenticazione o alle chiavi API.

L’attaccante ha però avuto accesso alla console di assistenza clienti di Twilio con conseguente esposizione del numero di telefono degli utenti di Signal e dei dati di verifica dell’account. Questo potrebbe permettere loro di utilizzare questi dati per registrare nuovamente i numeri di telefono compromessi su un dispositivo sotto il loro controllo e utilizzarli per impersonare utenti e inviare e ricevere messaggi a nome loro.

Ancora una volta si dimostra necessario controllare le proprie terze parti e definire un processo che integri il security rating di queste nella propria governance del rischio cyber.

Fonte: https://www.databreachtoday.com/1900-signal-customers-data-exposed-in-twilio-hack-a-19814