Twilio, vào đầu tháng này đã trở thành một cuộc tấn công lừa đảo tinh vi, tuần trước đã tiết lộ rằng các tác nhân đe dọa cũng đã tìm cách truy cập vào tài khoản của 93 người dùng cá nhân của dịch vụ xác thực hai yếu tố Authy (2FA).
Công ty công cụ truyền thông cho biết việc truy cập trái phép khiến kẻ thù có thể đăng ký thiết bị bổ sung vào các tài khoản đó. Kể từ đó, nó đã xác định và xóa các thiết bị được thêm bất hợp pháp khỏi các tài khoản bị ảnh hưởng.
Authy, được Twilio mua lại vào tháng 2 năm 2015, cho phép bảo vệ các tài khoản trực tuyến bằng lớp bảo mật thứ hai để ngăn chặn các cuộc tấn công chiếm đoạt tài khoản. Nó ước tính có gần 75 triệu người dùng.
Twilio lưu ý thêm rằng cuộc điều tra của họ kể từ ngày 24 tháng 8 năm 2022, đã có 163 khách hàng bị ảnh hưởng, tăng từ 125 khách hàng được báo cáo vào ngày 10 tháng 8, những người mà họ cho biết tài khoản đã bị tấn công trong một khoảng thời gian giới hạn.
Bên cạnh Twilio, chiến dịch lan rộng, được Group-IB đặt tên là 0ktapus, được cho là đã tấn công 136 công ty, bao gồm Klaviyo, MailChimp và một cuộc tấn công bất thành nhằm vào Cloudflare đã bị cản trở bởi việc sử dụng mã thông báo bảo mật phần cứng của công ty.
Các công ty được nhắm mục tiêu mở rộng lĩnh vực công nghệ, viễn thông và tiền điện tử, với chiến dịch sử dụng bộ công cụ lừa đảo để lấy tên người dùng, mật khẩu và mật khẩu dùng một lần (OTP) thông qua các trang đích giả mạo bắt chước các trang xác thực Okta của các tổ chức tương ứng.
Dữ liệu sau đó được bí mật chuyển đến tài khoản Telegram do tội phạm mạng kiểm soát trong thời gian thực, sau đó cho phép kẻ đe dọa xoay trục và nhắm mục tiêu vào các dịch vụ khác trong cái gọi là cuộc tấn công chuỗi cung ứng nhằm vào Signal và Okta, mở rộng phạm vi và quy mô một cách hiệu quả. của các cuộc xâm nhập.
Nói chung, cuộc thám hiểm lừa đảo được cho là đã lấy được ít nhất 9.931 thông tin đăng nhập người dùng và 5.441 mã xác thực đa yếu tố của kẻ đe dọa.
Okta, về phần mình, xác nhận hành vi trộm cắp thông tin xác thực đã gây ra hiệu ứng gợn sóng, dẫn đến việc truy cập trái phép một số lượng nhỏ số điện thoại di động và tin nhắn SMS liên quan có chứa OTP thông qua bảng điều khiển quản trị của Twilio.
Nói rằng các OTP có thời hạn hiệu lực là 5 phút, Okta cho biết sự cố liên quan đến việc kẻ tấn công trực tiếp tìm kiếm 38 số điện thoại duy nhất trên bảng điều khiển – gần như tất cả đều thuộc về một thực thể duy nhất – với mục tiêu mở rộng quyền truy cập của chúng.
“Kẻ đe dọa đã sử dụng thông tin đăng nhập (tên người dùng và mật khẩu) bị đánh cắp trước đây trong các chiến dịch lừa đảo để kích hoạt các thử thách MFA dựa trên SMS và sử dụng quyền truy cập vào hệ thống Twilio để tìm kiếm mật khẩu một lần được gửi trong các thử thách đó”, Okta đưa ra giả thuyết.
Okta, đang theo dõi nhóm hack với biệt danh Scatter Swine, tiết lộ thêm phân tích của họ về nhật ký sự cố “đã phát hiện ra một sự kiện trong đó kẻ đe dọa đã thử nghiệm thành công kỹ thuật này chống lại một tài khoản duy nhất không liên quan đến mục tiêu chính.”
Giống như trường hợp của Cloudflare, nhà cung cấp dịch vụ quản lý danh tính và truy cập (IAM) nhắc lại rằng họ đã biết về một số trường hợp mà kẻ tấn công đã gửi một loạt tin nhắn SMS nhắm vào nhân viên và thành viên gia đình của họ.
Okta chỉ ra: “Kẻ đe dọa có thể thu thập số điện thoại di động từ các dịch vụ tổng hợp dữ liệu có sẵn trên thị trường liên kết số điện thoại với nhân viên tại các tổ chức cụ thể”.
Một nạn nhân chuỗi cung ứng khác của chiến dịch là dịch vụ giao đồ ăn DoorDash, cho biết họ đã phát hiện “hoạt động bất thường và đáng ngờ từ mạng máy tính của nhà cung cấp bên thứ ba”, khiến công ty vô hiệu hóa quyền truy cập của nhà cung cấp vào hệ thống của họ để ngăn chặn vi phạm.
Theo công ty, vụ đột nhập cho phép kẻ tấn công truy cập vào tên, địa chỉ email, địa chỉ giao hàng và số điện thoại liên quan đến “một tỷ lệ nhỏ các cá nhân.” Trong một số trường hợp, thông tin đơn đặt hàng cơ bản và thông tin thẻ thanh toán một phần cũng được truy cập.
DoorDash, đã thông báo trực tiếp cho những người dùng bị ảnh hưởng, lưu ý rằng bên trái phép cũng lấy được tên và số điện thoại hoặc địa chỉ email của tài xế giao hàng (còn gọi là Dashers), nhưng nhấn mạnh rằng mật khẩu, số tài khoản ngân hàng và số An sinh xã hội đã không được truy cập.
Công ty có trụ sở tại San Francisco không tiết lộ thêm chi tiết về việc nhà cung cấp bên thứ ba là ai, nhưng họ nói với TechCrunch rằng vi phạm có liên quan đến chiến dịch lừa đảo 0ktapus.
.
