SERANGAN PHISHING TERHADAP TWILIO BERHASIL MEMBOBOL SISTEM KEAMANAN 2FA SELURUH AKUN ONLINE

Twilio, perusahaan komunikasi berbasis cloud, mengatakan bahwa mereka telah menjadi korban serangan phishing canggih pada awal Agustus 2022 lalu. Dalam serangan tersebut pelaku ancaman berhasil mendapatkan akses ke 93 akun pribadi pengguna layanan otentikasi dua faktor (two factor authentication) Authy. Seluruh akun tersebut digunakan oleh pelaku ancaman untuk mendaftarkan perangkat tambahan milik pelaku. Namun, pihak Twilio telah melakukan identifikasi dan menghapus seluruh perangkat yang diketahui telah ditambahkan secara tidak resmi oleh para pelaku.

Authy yang diakuisisi oleh Twilio pada Februari 2015, merupakan perangkat lunak yang berfungsi mengamankan seluruh akun online dengan sistem keamanan dua lapis guna mencegah serangan peretasan yang bertujuan untuk mengambil alih akun. Diperkirakan jumlah pengguna perangkat lunak ini telah mencapai 75 juta di seluruh dunia.

Dalam penyelidikan yang dilakukan pada 24 Agustus 2022, Twilio telah menemukan sebanyak 163 pelanggan menjadi korban serangan. Jumlah ini naik dari 125 kasus yang dilaporkan pada 10 Agustus 2022 lalu. Para korban yang terdampak ini, umumnya melaporkan bahwa akun mereka telah diretas dalam jangka waktu tertentu.

Serangan tersebut juga telah menyerang sebanyak 136 perusahaan yang umumnya bergerak dalam sektor teknologi, telekomunikasi dan cryptocurrency, termasuk didalamnya Klaviyo, dan MailChimp. Salah satu target serangan tersebut adalah perusahaan penyedia manajemen akses Cloudflare. Namun serangan tersebut dapat digagalkan oleh Clouflare karena adanya penggunaan hardware security token.

Dalam serangan phishing yang dijuluki Oktopus oleh peneliti keamanan dari Group-IB itu, para pelaku ancaman menggunakan phishing kit untuk mengumpulkan data-data dan informasi kredensial seperti nama pengguna, kata sandi dan one time password code. Mereka mendapatkan informasi kedensial tersebut melalui halaman situs palsu yang meniru situs asli software keamanan okta yang digunakan oleh seluruh perusahaan target. Seluruh data kredensial tersebut kemudian diupload secara real time ke akun Telegram milik para penjahat dunia maya.

Tindakan ini memungkinkan para penjahat dunia maya dapat memanfaatkan data-data tersebut untuk melancarkan serangan rantai pasokan (supplychain attack) dengan menargetkan perusahaan besar seperti DigitalOcean, Signal, dan Okta. Selain itu juga dapat digunakan untuk memperluas cakupan wilayah serangan maupun untuk menaikkan skala intrusi. Kejahatan phishing ini diyakini telah mengumpulkan total sebanyak 9.931 kredensial dan 5.441 kode otentikasi multi-faktor oleh pelaku ancaman dalam kejahatan phishing yang dilakukan.

Perusahaan software keamanan Okta, dalam pernyataannya telah mengkonfirmasi bahwa pencurian kredensial melalu penyalahgunaan konsol administratif Twilio, mengakibatkan peretas behasil mendapat akses tidak resmi terhadap sejumlah nomor ponsel dan pesan SMS yang berisi kode OTP. Selanjutnya dikatakan bahwa pencarian nomor telepon oleh para pelaku ancaman dengan menggunakan konsol Twilio tersebut bertujuan untuk memperluas akses serangan mereka.

Cloudflare sebagai perusahaan penyedia manajemen akses mengatakan, bahwa mereka telah mengetahui adanya ledakan jumlah pesan SMS yang dikirim pelaku ancaman dengan menargetkan karyawan dan anggota keluarga mereka. Para pelaku mendapatkan seluruh nomor telepon milik karyawan tersebut dari layanan pengumpul data yang tersedia secara komersial.

Korban lain dalam supplychain attack ini adalah layanan pengirim makanan DoorDash. Pihak DoorDash mengatakan bahwa mereka mendeteksi adanya aktivitas mencurigakan pada jaringan komputer perusahaan yang dilakukan oleh vendor pihak ketiga. Kecurigaan ini mendorong tim keamanan DoorDash menonaktifkan sistem perusahaan tersebut. DoorDash juga mengatakan bahwa pelaku ancaman berhasil mendapatkan informasi penting seperti nama, alamat email, alamat pengiriman, nomor telepon, informasi dasar pemesanan dan informasi detail kartu pembayaran milik sejumlah konsumen. Namun perusahaan tersebut tidak mengatakan secara detail mengenai vendor pihak ketiga yang dimaksud, tetapi mengatakan bahwa serangan tersebut terkait dengan serangan phishing Oktopus.

Sumber:

https://thehackernews.com/2022/08/twilio-breach-also-compromised-authy.html