Os desenvolvedores do mensageiro aberto Signal revelaram informações sobre um ataque direcionado com o intuito de obter controle sobre as contas de alguns usuários. O ataque foi realizado através da invasão do serviço Twilio, usado pelo Signal para enviar mensagens SMS com códigos de verificação. A análise dos dados mostrou que a invasão do Twilio pode ter afetado cerca de 1900 números de telefone de usuários do Signal, permitindo que os atacantes pudessem reter o número de telefone em outro dispositivo, após o que poderiam receber ou enviar mensagens para o número de telefone vinculado (o acesso ao histórico de conversas anteriores, informações do perfil e a lista de contatos não poderia ser obtido, pois tais informações são armazenadas no dispositivo do usuário e não são transferidas para os servidores do Signal).
Durante o intervalo de tempo entre a invasão e o bloqueio pela Twilio da conta comprometida de um funcionário utilizada para o ataque, foi observada atividade relacionada ao registro de conta ou ao envio de um código de verificação por SMS nos 1900 números de telefone marcados. Com acesso à interface de serviço da Twilio, os atacantes mostraram interesse em três números específicos de usuários do Signal, e pelo menos um dos telefones conseguiu ser vinculado ao dispositivo dos infratores, de acordo com uma reclamação recebida do proprietário da conta afetada. O Signal enviou notificações por SMS sobre o incidente a todos os usuários que poderiam ter sido potencialmente afetados pelo ataque e desativou a vinculação de seus dispositivos.
A invasão do Twilio foi realizada utilizando métodos de engenharia social, permitindo que os atacantes atraíssem um dos funcionários da empresa para uma página de phishing e obtivessem acesso à sua conta no sistema de suporte ao cliente. Em particular, os invasores enviaram mensagens SMS aos funcionários da Twilio alertando sobre o vencimento da conta ou informando sobre alterações na programação, às quais foi anexado um link para uma página falsa, estilizada para parecer com a interface de login único dos serviços da Twilio. De acordo com a Twilio, ao se conectar à interface de suporte, os invasores conseguiram acessar dados relacionados a 125 usuários.
Fonte: opennet.ru
