Tại sao sự vi phạm của Twilio lại cắt sâu như vậy

Công ty truyền thông Twilio đã bị một vụ vi phạm vào đầu tháng 8 mà nó cho biết đã ảnh hưởng đến 163 tổ chức khách hàng của mình. Trong số 270.000 khách hàng của Twilio, 0,06% có vẻ tầm thường, nhưng vai trò cụ thể của công ty trong hệ sinh thái kỹ thuật số có nghĩa là phần nhỏ nạn nhân đó có giá trị và ảnh hưởng vượt trội. Ứng dụng nhắn tin an toàn Signal, ứng dụng xác thực hai yếu tố Authy và công ty xác thực Okta đều là khách hàng của Twilio là nạn nhân thứ hai của vụ vi phạm.

Twilio cung cấp các giao diện lập trình ứng dụng mà qua đó các công ty có thể tự động hóa các dịch vụ gọi điện và nhắn tin. Điều này có nghĩa là một hệ thống mà thợ cắt tóc sử dụng để nhắc nhở khách hàng về việc cắt tóc và yêu cầu họ nhắn lại “Xác nhận” hoặc “Hủy”. Nhưng nó cũng có thể là nền tảng mà qua đó các tổ chức quản lý hệ thống nhắn tin văn bản xác thực hai yếu tố của họ để gửi mã xác thực một lần. Mặc dù người ta đã biết từ lâu rằng SMS là một cách không an toàn để nhận những mã này, nhưng nó chắc chắn còn hơn không và các tổ chức vẫn chưa thể loại bỏ hoàn toàn cách làm này. Ngay cả một công ty như Authy, có sản phẩm cốt lõi là ứng dụng tạo mã xác thực, cũng sử dụng một số dịch vụ của Twilio.

Chiến dịch tấn công Twilio, của một diễn viên được gọi là “0ktapus” và “Scatter Swine”, rất quan trọng vì nó minh họa rằng các cuộc tấn công lừa đảo không chỉ có thể cung cấp cho những kẻ tấn công quyền truy cập có giá trị vào mạng mục tiêu mà chúng thậm chí có thể khởi động các cuộc tấn công chuỗi cung ứng trong đó quyền truy cập vào hệ thống của một công ty cung cấp một cửa sổ vào các hệ thống của khách hàng của họ.

Một kỹ sư bảo mật đề nghị giấu tên cho biết: “Tôi nghĩ đây sẽ là một trong những vụ hack lâu dài phức tạp hơn trong lịch sử. “Đó là một cuộc tấn công của bệnh nhân được nhắm mục tiêu siêu rộng nhưng vẫn rộng rãi. Tạo ra xác thực đa yếu tố, tạo ra thế giới. ”

Những kẻ tấn công đã xâm nhập Twilio như một phần của chiến dịch lừa đảo quy mô lớn nhưng được điều chỉnh nhằm chống lại hơn 130 tổ chức, trong đó những kẻ tấn công đã gửi tin nhắn văn bản SMS lừa đảo đến nhân viên tại các công ty mục tiêu. Các văn bản thường được cho là đến từ bộ phận CNTT hoặc nhóm hậu cần của công ty và khuyến khích người nhận nhấp vào liên kết và cập nhật mật khẩu của họ hoặc đăng nhập để xem xét thay đổi lịch trình. Twilio nói rằng các URL độc hại chứa các từ như “Twilio”, “Okta” hoặc “SSO” để làm cho URL và trang đích độc hại mà nó liên kết có vẻ hợp pháp hơn. Những kẻ tấn công cũng nhắm mục tiêu vào công ty cơ sở hạ tầng internet Cloudflare trong chiến dịch của họ, nhưng công ty cho biết vào đầu tháng 8 rằng họ không bị xâm phạm vì giới hạn quyền truy cập của nhân viên và sử dụng khóa xác thực vật lý để đăng nhập.

Crane Hassold, giám đốc tình báo về mối đe dọa tại Abnormal Security và là cựu nhà phân tích hành vi kỹ thuật số của FBI cho biết: “Điểm lớn nhất ở đây là tin nhắn SMS được sử dụng làm vector tấn công ban đầu trong chiến dịch này thay vì email. “Chúng tôi đã bắt đầu thấy nhiều tác nhân rời khỏi email như là nhắm mục tiêu ban đầu và khi cảnh báo bằng tin nhắn văn bản trở nên phổ biến hơn trong các tổ chức, điều đó sẽ làm cho những loại tin nhắn lừa đảo này thành công hơn. Theo giai thoại, tôi nhận được tin nhắn văn bản từ các công ty khác nhau mà tôi kinh doanh suốt thời gian qua, và đó không phải là trường hợp của một năm trước ”.