Twilio a piraté les numéros de téléphone Signal de 1 900 utilisateurs

📱 2022-08-15 23:46:24 – Paris/France.

Les numéros de téléphone de près de 1 900 utilisateurs de Signal ont été exposés lors de la violation de données subie par la société de communications cloud Twilio au début du mois.

Twilio fournit des services de vérification de numéro de téléphone pour Signal et a révélé la semaine dernière qu’un attaquant avait piraté son réseau le 4 août.

La société de communication a confirmé que les données appartenant à 125 de ses clients ont été exposées après que les pirates ont eu accès aux comptes des employés de Twilio en leur envoyant des SMS contenant des liens malveillants.

Un pirate pourrait enregistrer des numéros de téléphone sur son appareil

Signal a publié aujourd’hui un avis à l’intention de ses utilisateurs les informant de l’impact de la cyberattaque sur Twilio :

« Tous les utilisateurs peuvent être assurés que l’historique de leurs messages, leurs listes de contacts, leurs informations de profil, les personnes qu’ils ont bloquées et d’autres données personnelles restent privées et sécurisées et n’ont pas été affectées » – Signal

Mais pour environ 1 900 utilisateurs de Signal, leurs numéros de téléphone ont été potentiellement exposés à l’attaquant Twilio, qui aurait pu tenter de les enregistrer sur un autre appareil.

L’enquête de Signal sur l’incident a conclu que l’accès du pirate à la console d’assistance client de Twilio leur permettait soit de voir que le numéro de téléphone était lié à un compte Signal, soit de révéler le code de vérification par SMS pour s’inscrire au service.

« Pendant la fenêtre où un attaquant avait accès aux systèmes de support client de Twilio, il lui était possible d’essayer d’enregistrer les numéros de téléphone auxquels il avait accédé sur un autre appareil à l’aide du code de vérification SMS. L’attaquant n’a plus cet accès et l’attaque a été stoppée par Twilio » – Signal

Le service de messagerie instantanée cryptée indique que parmi les 1 900 numéros de téléphone, l’attaquant a « recherché explicitement » trois d’entre eux. L’un de ces utilisateurs a signalé que son compte avait été réenregistré.

Signal rassure les utilisateurs sur le fait que l’historique des messages est resté sécurisé à tout moment car il n’est disponible que sur l’appareil sans copie sur les serveurs du service.

Les listes de contacts et les informations de profil sont protégées par le code PIN Signal, auquel il n’a pas été possible d’accéder pendant la violation des données Twilio.

Notifications SMS en route

La société avertit que si un attaquant réenregistre un compte sur l’un de ses appareils, il pourra envoyer et recevoir des messages Signal à partir de ce numéro de téléphone.

Tous les utilisateurs de 1 900 Signal concernés seront désinscrits sur tous les appareils et ils doivent suivre le processus d’enregistrement sur leurs appareils.

Signal est en train d’envoyer des messages SMS aux utilisateurs concernés pour les informer du risque et prévoit de terminer le processus d’ici demain.

Les utilisateurs concernés devraient recevoir un message indiquant : « Cela vient de Signal Messenger. Nous vous contactons pour que vous puissiez protéger votre compte Signal. Ouvrez Signal et enregistrez-vous à nouveau. Plus d’informations: https://signal.org/smshelp.”

Lors de l’ouverture de l’application Signal, ils devraient également voir une bannière les informant que leur appareil n’est plus enregistré, s’ils ont utilisé le service récemment.

Signal encourage les utilisateurs à activer l’option de verrouillage de l’enregistrement, qui permet de récupérer le profil, les paramètres, les contacts et les utilisateurs bloqués. La fonctionnalité ne peut être activée ou désactivée qu’à partir de l’appareil et nécessite le code PIN Signal comme couche de vérification supplémentaire.

SOURCE : Reviews News

N’hésitez pas à partager notre article sur les réseaux sociaux afin de nous donner un solide coup de pouce. 🤓