Twilio Authy API 정보 노출 및 전화번호 열거 취약점 (CVE-2024-39891) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT25.1.0 미만 버전의 Authy Android 및 26.1.0 미만 버전의 Authy iOS 앱이 사용하는 Twilio Authy API 엔드포인트
인증되지 않은 공격자가 대량의 전화번호 목록을 전송하여 특정 번호가 Authy 서비스에 가입되어 있는지 여부를 식별하고, 이를 피싱 및 사회공학적 공격에 악용할 수 있음
모바일 애플리케이션을 최신 버전(Android 25.1.0 이상, iOS 26.1.0 이상)으로 즉시 업데이트하고, API 게이트웨이 단에서 비정상적인 대량 요청에 대한 속도 제한(Rate Limiting)을 적용할 것
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
사용자는 모바일 기기에서 Authy 애플리케이션을 최신 버전으로 업데이트해야 합니다. 기업 환경 내 MDM(모바일 기기 관리) 솔루션을 사용하는 경우, 아래와 같이 최소 요구 버전 이상으로 강제 업데이트 정책을 적용하십시오.
# Android 및 iOS 단말기의 Authy 앱 버전 검증 가이드
# Android 권장 버전: 25.1.0 이상
# iOS 권장 버전: 26.1.0 이상
# MDM 또는 사내 패키지 관리 도구를 통한 버전 확인 예시 (CLI)
adb shell dumpsys package com.authy.authy | grep versionName2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
API 서버 및 게이트웨이 레벨에서 비정상적인 정보 열거 공격을 차단하기 위해, Nginx 또는 API Gateway 단에서 속도 제한(Rate Limiting) 및 IP 차단 정책을 수립해야 합니다. 아래는 Nginx를 활용한 특정 API 엔드포인트 속도 제한 설정 예시입니다.
# nginx.conf 설정 예시
limit_req_zone $binary_remote_addr zone=authy_api_limit:10m rate=5r/s;
server {
listen 443 ssl;
server_name api.authy.com;
location /v1/api/verify/phone {
# 미인증 사용자의 대량 요청 제한
limit_req zone=authy_api_limit burst=10 nodelay;
limit_req_status 429;
proxy_pass http://backend_authy_service;
}
}3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
웹 서버 또는 API 게이트웨이 로그에서 단일 IP가 짧은 시간 동안 대량의 전화번호 조회 요청을 전송했는지 분석하는 Python 스크립트 예시입니다.
# API 요청 로그에서 특정 패턴(예: 단일 IP의 과도한 POST 요청)을 탐지하는 간단한 파싱 명령어
cat /var/log/nginx/access.log | grep '/v1/api/verify/phone' | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 20코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2024-39891)은 Twilio Authy API의 특정 엔드포인트가 인증(Authentication)을 요구하지 않고 외부 요청을 처리하는 과정에서 발생한 정보 노출 취약점입니다. 해당 엔드포인트는 입력된 전화번호가 Authy 서비스에 등록된 계정인지 여부를 확인해 주는 기능을 수행하며, 이 과정에서 관찰 가능한 응답 차이(CWE-203)를 유발합니다. 인증되지 않은 공격자가 임의의 전화번호 스트림을 전송할 때, API가 각 번호의 등록 상태를 정밀하게 응답함으로써 대규모 사용자 데이터베이스 매핑이 가능해졌습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 별도의 API 키나 사용자 세션 인증 없이도 접근 가능한 공개 엔드포인트를 표적으로 삼았습니다. 자동화된 스크립트를 통해 무작위 또는 사전 수집된 수백만 개의 전화번호 목록을 API 엔드포인트로 전송(Stream of Requests)하는 방식으로 공격이 수행되었습니다. API는 각 전화번호가 Authy에 등록되어 있는지 여부를 즉각적으로 응답하였으며, 공격자는 이를 수집하여 'Authy 사용 중인 전화번호 목록'을 성공적으로 필터링 및 열거(Enumeration)할 수 있었습니다. 실제 2024년 6월에 이 취약점을 악용한 대규모 야생(In-the-Wild) 공격이 관찰되었습니다.
3. 비즈니스 및 인프라 파급 영향
비록 Authy 계정 자체의 세션이 탈취되거나 2차 인증(MFA) 토큰이 직접적으로 유출되는 등의 내부 시스템 침해는 발생하지 않았으나, 유출된 'Authy 가입 전화번호 목록'은 심각한 2차 피해를 유발합니다. 공격자는 Authy 사용자를 표적으로 삼아 고도로 정교한 SMS 피싱(Smishing)이나 기술 지원 사칭 사회공학적 공격을 수행할 수 있습니다. 이는 기업 임직원 및 일반 사용자의 계정 탈취로 이어질 수 있어 비즈니스 신뢰도와 브랜드 가치에 심각한 타격을 입힙니다.
공식 보안 권고문 및 참조 링크
In the Twilio Authy API, accessed by Authy Android before 25.1.0 and Authy iOS before 26.1.0, an unauthenticated endpoint provided access to certain phone-number data, as exploited in the wild in June 2024. Specifically, the endpoint accepted a stream of requests containing phone numbers, and responded with information about whether each phone number was registered with Authy. (Authy accounts were not compromised, however.)
자주 묻는 실무 질문 (FAQ — CVE-2024-39891)
FAQQ1. CVE-2024-39891 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2024-39891의 기본 점수는 CVSS 5.3 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 1.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2024-39891에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 twilio이며, 대상 컴포넌트는 authy입니다. 상세 영향 범위: Twilio Authy Android 25.1.0 미만 버전 및 Authy iOS 26.1.0 미만 버전이 통신하는 백엔드 API 엔드포인트
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 모바일 애플리케이션을 최신 버전(Android 25.1.0 이상, iOS 26.1.0 이상)으로 즉시 업데이트하고, API 게이트웨이 단에서 비정상적인 대량 요청에 대한 속도 제한(Rate Limiting)을 적용할 것 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2024-39891 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (twilio)
동일 카테고리 전체 보기 →Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
Adobe Commerce (Magento) 서버 측 템플릿 주입(SSTI) 기반 원격 코드 실행 취약점 (CVE-2026-75650)
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (보안 패치 미적용 시)
Metabase /reset_password 엔드포인트 미인증 SQL 인젝션 및 관리자 권한 탈취 취약점 (CVE-2026-72898)
[영향 대상] Metabase 오픈소스 및 엔터프라이즈 버전 중 패치가 적용되지 않은 활성 인스턴스
WSO2 JWT 인증 우회 및 관리자 권한 탈취 취약점 (CVE-2026-5430) 보안 권고
[영향 대상] WSO2 Identity Server, API Manager 등 JWT 인증 메커니즘을 사용하는 주요 제품군
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.