短信钓鱼攻击获取了Twilio员工的凭证，允许访问客户数据
Twilio面临钓鱼攻击：客户帐户资讯遭泄露
关键要点
Twilio遭遇了一次高度复杂的钓鱼攻击，导致少量客户帐户被访问。攻击手法让员工误信并提供了登录凭证。受影响的客户包括Salesforce、Dell、Twitter和Airbnb等大型企业。Twilio的安全团队正在加强员工的安全培训，并撤销受影响帐户的访问权限。专家建议采用零信任框架来减少钓鱼攻击的风险。Twilio是一个基于云端的通信平台，最近宣布其经历了一次成功的钓鱼攻击，数个客户帐户的资讯被泄露。该公司于8月4日首次察觉到不当访问客户帐户资讯的情况，并在8月7日的官方博客中承认，这次广泛的攻击成功欺骗了某些员工，使其提供了登录凭证。
位于旧金山的Twilio表示，目前正在调查这起事件，并通知受到影响的客户。该公司的客户包括Salesforce、Dell、Twitter和Airbnb等知名企业。
公司的安全团队指出，近期有现任和前员工报告收到声称来自IT部门的短信，其中暗示他们的密码已过期或工作日程发生变化。这些短信中提供的攻击者控制的链接中包含Twilio、Okta和SSO等字样，试图欺骗用户登录仿冒的Twilio登录页面。
魔戒net加速器官网入口根据博客的内容，威胁行为者能够从外部来源匹配员工的名字和电话号码，而Twilio已与美国运营商和服务提供商合作，关闭恶意帐户和网址。尽管与运营商合作以阻止这些信息，Twilio的安全团队表示，威胁行为者已不断更换运营商和服务提供商以持续攻击。
所有受影响的员工帐户访问权限已被撤销，而Twilio也加强了对员工的安全培训。
网络安全专家Erfan Shadabi表示，采用零信任架构是减轻钓鱼攻击的最佳方法之一。他说：‘零信任’意味著假设你已经遭遇入侵，提供不受信的信任，不断验证，并且在成功认证后仅提供最小的权限。 如零信任架构的正面趋势，配合更加以数据为中心的保护方法保护数据本身而不是其周围的边界，从长远来看能够真正有所帮助。
虽然攻击者尚未被识别，但公司表示它已听闻其他公司遭遇类似攻击，并与执法部门合作进行调查。