短訊路由服務商資料庫外洩 內含大量 2FA 密碼記錄

雙步驟驗證 (2FA) 雖然被認為是比單靠密碼登入更加安全的身份驗證方式,不過也有可能存在風險。最近大型短訊路由服務供應商 YX International 被發現有數據庫未經加密在網絡上流通,其中包括大量 2FA 密碼記錄。

據消息指,提供短訊路由服務以及手機網絡裝置的 YX International 客戶相當多,其每天處理的自動化短訊,包括 2FA 密碼短訊等數以百萬計。最近經安全研究員 Anurag Sen 追溯數據庫的來源並發現是來自 YX International 後,他們也確認了這個內部數據庫未經加密保護,而且可以在互聯網上只有存取,數據庫之中包括了重要的用戶數據,包括 2FA 短訊中的密碼以及相關連結。

目前 YX International 方面雖然已經修補漏洞,不過由於他們並未有記錄數據庫的存取情況,因此是否有人未經許可存取過,以及在網上公開了多久,都仍然未知。2FA 雖然可以讓網上平台透過手機短訊等方式確認用家的身份,卻因為中間可以直接從電訊商或者短訊服務商攔截密碼,因此也存在一定風險。現在流行的 Passkeys 方式就希望透過生體認證等方式解決問題。

來源:TechCrunch