Twilio confirma acesso indevido a dados pessoais de clientes

A empresa Twilio confirmou que alguns dados pessoais de clientes da entidade podem ter sido acedidos de forma ilegítima, depois de um grupo de atacantes ter conseguido aceder aos sistemas internos da entidade através de um ataque a um dos funcionários.

A Twilio conta com mais de 5000 funcionários espalhados por 26 escritórios, em 17 países diferentes. A plataforma fornece serviços de email, chat e SMS empresarial, tendo mais de 150.000 clientes em todo o mundo.

De acordo com o comunicado da entidade, esta afirma que, a 4 de Agosto de 2022, foi confirmado o acesso a um dos sistemas internos da empresa por terceiros, nos quais os dados pessoais de alguns clientes da mesma podem ter sido acedidos e comprometidos.

O ataque terá usado engenharia social para levar ao roubo das credenciais de um dos funcionários da empresa. O atacante terá depois usado esses mesmos dados para aceder aos sistemas internos da entidade.

A empresa afirma que o funcionário afetado terá sido alvo de um elaborado esquema de phishing, via SMS. No entanto, a empresa não adianta detalhes sobre o número de funcionários que podem ter sido afetados ou dos clientes da empresa a que os dados foram acedidos.

A empresa afirma que os atacantes terão enviado uma mensagem SMS para os funcionários, com um link externo, a informarem os mesmos que necessitavam de realizar o update das suas senhas. No entanto, o link da mensagem redirecionava para um site em controlo dos atacantes, onde eram pedidos os dados de acesso anteriores – e que foram usados depois para o ataque.

A Twilio afirma que já terá revogado as senhas de todos os funcionários, embora ainda se encontre a realizar a investigação do incidente. Os clientes afetados também já se encontram a ser contactados pela empresa.