Gli sviluppatori del messenger open source Signal hanno rivelato dettagli su un attacco mirato volto a ottenere il controllo degli account di alcuni utenti. L'attacco è stato effettuato attraverso l'hacking del servizio Twilio, utilizzato da Signal per inviare SMS con codici di verifica. L'analisi dei dati ha mostrato che l'hacking di Twilio potrebbe aver coinvolto circa 1900 numeri di telefono degli utenti di Signal, per i quali gli aggressori avevano la possibilità di ri-registrare i numeri su un altro dispositivo, dopo di che potevano ricevere o inviare messaggi per il numero di telefono associato (l'accesso alla cronologia delle conversazioni passate, alle informazioni del profilo e alla rubrica non era possibile, poiché tali informazioni sono memorizzate sul dispositivo dell'utente e non vengono trasferite ai server di Signal).
Nel lasso di tempo tra il momento dell'attacco e il blocco dell'account compromesso da parte di Twilio, utilizzato per l'attacco, si è registrata attività su 1900 numeri di telefono correlata alla registrazione di un account o all'invio di un codice di verifica tramite SMS. Accedendo all'interfaccia di servizio di Twilio, gli aggressori si sono interessati a tre numeri specifici di utenti di Signal, e almeno uno di questi telefonini è riuscito a essere associato agli dispositivi degli aggressori, secondo la denuncia ricevuta dal proprietario dell'account compromesso. Signal ha inviato SMS informativi riguardo all'incidente a tutti gli utenti che potrebbero essere stati colpiti dall'attacco e ha annullato la registrazione dei loro dispositivi.
L'attacco a Twilio è avvenuto utilizzando tecniche di ingegneria sociale, che hanno permesso agli aggressori di ingannare un dipendente dell'azienda portandolo su una pagina di phishing e ottenendo accesso al suo account nel sistema di supporto clienti. In particolare, gli aggressori hanno inviato ai dipendenti di Twilio messaggi SMS avvisandoli della scadenza dell'account o fornendo informazioni su modifiche al programma, a cui era allegato un link a una pagina falsa, stilizzata per assomigliare all'interfaccia di accesso unificato dei servizi di Twilio. Secondo Twilio, collegandosi all'interfaccia del servizio di assistenza, gli aggressori sono riusciti ad accedere ai dati relativi a 125 utenti.
Fonte: opennet.ru
