Cisco heeft klanten die gebruikmaken van de Duo-authenticatieoplossingen gewaarschuwd voor een datalek met MFA SMS-logbestanden. Duo, dat in 2018 voor een bedrag van 2,35 miljard dollar door Cisco werd overgenomen, biedt oplossingen voor het inloggen via multifactorauthenticatie (MFA). Een telecomprovider die Duo gebruikt voor het versturen van MFA-berichten via SMS en VoIP naar klanten is begin deze maand gecompromitteerd, waarbij de aanvaller toegang kreeg tot logbestanden.

De aanvaller wist met inloggegevens van een medewerker van de telecomprovider toegang tot interne systemen te krijgen. Deze inloggegevens werden via een phishingaanval verkregen. Via de interne systemen van de provider kon de aanvaller de logbestanden downloaden. De logbestanden bevatten niet de inhoud van het verstuurde bericht, maar wel telefoonnummer, telecomprovider, land en staat waar elk bericht naar toe werd gestuurd, alsmede andere metadata. De niet nader genoemde provider zegt maatregelen te hebben genomen om herhaling in de toekomst te voorkomen. Naast technische maatregelen moeten medewerkers ook een aanvullende awareness-training over social engineering volgen.

Duo roept aangeschreven managed serviceproviders op om hun klanten met getroffen gebruikers direct te waarschuwen en dat die alert moet zijn op mogelijke social engineering-aanvallen die kunnen volgen. Het bericht van Cisco Duo werd gedeeld op Reddit in een subreddit van managed serviceproviders (MSP's). Meerdere deelnemers aan deze subreddit laten weten dat ze het bericht hebben ontvangen. Duo biedt een MSP-programma waarbij deze bedrijven de authenticatieoplossingen voor hun klanten kunnen gebruiken.