Twilio Authy の情報漏えいの脆弱性（CVE-2024-39891）

何が起きた

二段階認証アプリ Twilio Authy が使う API（アプリとサーバーがやり取りする窓口）に、ログインなしで使える入口があり、電話番号を送ると、その番号が Authy に登録されているかどうかが分かってしまう弱点がありました。2024年6月に、大量の電話番号を送る形で実際に悪用されたことが確認されています。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。なお、NVD の説明では Authy のアカウント自体は乗っ取られていないとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Twilio Authy を使っている人が対象です。NVD の説明では、この API を使っていたのは Authy Android 25.1.0 より前と、Authy iOS 26.1.0 より前のアプリとされています。電話番号が登録済みかどうかという情報が他人に知られた可能性があります。Twilio は、この入口をログインなしでは使えないようにしたとしています。

何をすればいい

Twilio は、すべての Authy 利用者に最新版のアプリへ更新するよう求めています。Android は 25.1.0 以降、iOS は 26.1.0 以降に更新されているか確認してください。Twilio によると、電話番号を使ったフィッシング（だましのメッセージ）やスミッシング（SMS を使った詐欺）が来るおそれがあるため、届くメッセージに注意してください。Twilio の公式の案内も確認してください。

やることチェックリスト

• Android 版を 25.1.0 以降に更新する
• iOS 版を 26.1.0 以降に更新する
• 電話番号あての怪しい SMS やメッセージに注意する

用語メモ

API

アプリとサーバーなど、プログラムどうしが決まった形でデータをやり取りするための窓口です。

二段階認証

パスワードに加えて、スマートフォンに届くコードなど別の手段でも本人確認をする仕組みです。