Tootfinder

Researchers detail "Pixnapping", a new covert attack to steal 2FA codes and other private data on Android; Google's September patch only partially mitigates it (Dan Goodin/Ars Technica)
https://arstechnica.com/security/2025/

Hackers can steal 2FA codes and private messages from Android phones
Malicious app required to make “Pixnapping” attack work requires no permissions.

»Grossunternehmen machen 2FA falsch:
Zwei-Faktor-Authentisierung ist eine der besten Sicherheitsmassnahmen für unsere Accounts im Netz. Viele Grossunternehmen setzen aber 2FA zum Nachteil der Kunden falsch ein«
Danke für den Artikel @…, ich habe ihn erst jetzt entdeckt. Leider verstehen mMn viele Firmen die IT nicht ganz wie sie die einsetzen. Es…

It's finally Friday but don't head out for the weekend until you check out today's Metacurity for the top infosec developments you should know, including
--UK ICO fines LastPass $1.6 million over 2022 data breach,
--Cybercrims impersonate cops to get sensitive data on users,
--Throwaway phone numbers undercut SMS 2FA,
--Chinese inverters threaten the power grid,
--Second Irish HSE attack revealed,
--Irish Justice Minister apologizes for gaffe ov…

UK ICO fines LastPass $1.6 million over 2022 data breach
Cybercrims impersonate cops to get sensitive data on users, Throwaway phone numbers undercut SMS 2FA, Chinese inverters threaten the power grid, Second Irish HSE attack revealed, Irish Justice Minister apologizes for gaffe over PSNI data breach, Korea seeks punitive fines over breaches, much more

Was ist eine „gefälschte E-Mail-Adresse“? Und wie schützt 2FA dagegen, dass Dritte ein Account mit der eigenen Wohnadresse eröffnen?
https://www.srf.ch/sendungen/kassensturz-espresso/espresso/sicherheit-im-onlineshop-…

ich hasse 2FA

@… Vielleicht habe ich die frage auch falsch verstanden. Wenn es um ein zweites gerät für 2FA geht, das ist nicht nötig; die 2FA-app kann auch auf dem gleichen gerät laufen.

@… Vielleicht habe ich die frage auch falsch verstanden. Wenn es um ein zweites gerät für 2FA geht, das ist nicht nötig; die 2FA-app kann auch auf dem gleichen gerät laufen.

@… it doesn’t do 2FA with GHA, fwiw 😅

Security annoyance of the day: Mandatory 2fa that then gives you an option to trust a device for the next 7 days.
Frequent enough to be annoying, but lacks the e.g. anti-phish protections of doing it every time. Worst of both worlds.

SMS 2FA: exists
Me: paying just to login to banks😭

This improvement of grabbing 2fa codes from third-party app notifications is super useful when my main number is on google voice.

Ask a SaaS product what backup solutions they use and if they store it at a different company, you get nothing, no reply.
#hanko #HankoAuth #SaaS
Please have faith in Bezos
Shame…

@… I wouldn’t expect so (but I couldn’t say 100%). Sounds like you made a config error somewhere? I locked down npm publishing access to require 2FA and disallow tokens and deleted my tokens from GitHub Settings too — I’d also check your Actions yml to make sure the token isn’t being used there

»Cyberkriminalität — Millionen Payback-Konten angreifbar:
Cyberkriminelle nutzen aktuell offenbar eine Schwachstelle im Sicherheitskonzept von Payback aus, um Kundendaten und Bonuspunkte zu stehlen«
Die Frage ist eigentlich: Weshalb nutzen populäre App Dienste immer noch kein Argon2 & Co. Passwort Hashes so wie E-Mail Adressen im Klartext und nicht zB 2FA / Passkeys?
📺

Millionen Payback-Konten angreifbar
Cyberkriminelle nutzen aktuell offenbar eine Schwachstelle im Sicherheitskonzept von Payback aus, um Kundendaten und Bonuspunkte zu stehlen. Dies zeigen Recherchen von STRG_F (NDR/funk). Potenziell betroffen sind Millionen Konten.

@… Ah, wenn du unterwegs kein Internet hast, brauchst du auch keine 2FA – problem gelöst ;-)

@… Ah, wenn du unterwegs kein Internet hast, brauchst du auch keine 2FA – problem gelöst ;-)

X plans to retire the Twitter.com domain, prompting users to re-enroll their security keys for 2FA, and will lock accounts that are not updated by November 10 (Will McCurdy/PCMag)
https://www.pcmag.com/news/using-a-security-key-on-x-re-enroll…

@… Nach meiner erfahrung wird das oft suggeriert, ist aber nicht nötig. Wie gesagt, ich hatte nie ein smartphone. Ich benutze für 2FA (SWITCH edu-ID, Microsoft und GitHub) auf dem Mac Step Two, ohne separates mobilgerät.

@… Nach meiner erfahrung wird das oft suggeriert, ist aber nicht nötig. Wie gesagt, ich hatte nie ein smartphone. Ich benutze für 2FA (SWITCH edu-ID, Microsoft und GitHub) auf dem Mac Step Two, ohne separates mobilgerät.

This improvement of grabbing 2fa codes from third-party app notifications is super useful when my main number is on google voice.