Contas 2FA do Authy em risco devido ao Twilio

Uma centena de utilizadores do Authy ficou em risco de ver as suas contas 2FA serem acedidas por hackers.

Os efeitos dos ataque ao Twilio que deixou em risco os utilizadores do Signal alastram-se agora aos utilizadores do Authy.

O Authy é uma das apps de geração de códigos temporários de autenticação 2-factor, e que oferecia vantagens como a possibilidade de facilmente fazer a transferência desses dados para um novo smartphone (em vez de ter que passar por todo o processo de desactivar e reactivar os métodos 2FA), ou de manter as contas sincronizadas entre múltiplos equipamentos (como um smartphone e tablet). Infelizmente, essas vantagens também se podem tornar desvantagens, como agora aconteceu.

Devido ao ataque ao Twilio, que presta o serviço de envio dos códigos via SMS, os atacantes conseguiram aceder às contas de 93 utilizadores do Authy e adicionarem novos dispositivos associados a elas, passando a ter acesso aos códigos de autenticação 2FA que utilizassem.

O Authy diz já ter removido todos os dispositivos não autorizados, e recomenda que os utilizadores optem por usar um dispositivo de backup para os códigos 2FA e desactivem a opção "allow multi-device" para impedir que sejam adicionados dispositivos extra às suas contas. Quem utilizar apps como o Google Authenticator, que apenas permite transferência directa entre dispositivos, sem acesso via cloud, não tem que se preocupar com este tipo de ataques.