SEC вимкнув додатковий захист на X приблизно на 6 місяців, дозволяючи хакерам проникнути

• Комісія з цінних паперів і бірж США визнала, що хакеру вдалося заволодіти ONE із мобільних телефонів агентства, щоб зламати його обліковий запис X і опублікувати інформацію про спотовий Bitcoin ETF.
• Регулятор деактивував свою багатофакторну автентифікацію ще в липні 2023 року.

Комісія з цінних паперів і бірж США (SEC) підтвердила, що хакер захопив її обліковий запис X за допомогою атаки «SIM swap», яка захопила контроль над мобільним телефоном, пов’язаним з обліковим записом. Це дозволило аутсайдеру опублікувати неправдивий твіт 9 січня про те, що агентство схвалило спотові біржові фонди Bitcoin (ETF), за день до того, як агентство це зробило.

«Доступ до номеру телефону відбувся через оператора зв’язку, а не через системи SEC», — сказав речник агентства в заяві в понеділок. «Співробітники SEC не виявили жодних доказів того, що неавторизована сторона отримала доступ до систем SEC, даних, пристроїв або інших акаунтів у соціальних мережах». Комісія SEC не вказала, хто був оператором зв’язку.

Агентство також деактивувало свою багатофакторну автентифікацію в обліковому записі в липні 2023 року «через проблеми з доступом до облікового запису», сказав речник. Відтоді цей захист знову ввімкнено.

Ганебна помилка в безпеці – від відомого агентства консультування інвесторів для забезпечення належної безпеки та підтримки багатофакторної автентифікації на своїх фінансових рахунках – дозволили публікацію на X під обліковим записом @SECGov, що змусило багатьох повірити, що агентство підписало своє довгоочікуване схвалення для ETF. Неправдиві новини сколихнули Ринки, перш ніж швидко було визначено, що це хакерська атака.

«Отримавши контроль над номером телефону, неавторизована сторона скинула пароль для облікового запису @SECGov», — сказав речник. «Серед іншого, правоохоронні органи наразі розслідують, як неавторизована сторона змусила оператора змінити SIM-карту для облікового запису та як сторона дізналася, який номер телефону пов’язано з обліковим записом».

Незабаром після злому Комісія з цінних паперів і цінних паперів серйозно затвердила Bitcoin ETF.

X – раніше відомий як Twitter – поділився подібним поглядом на злом SEC заява два тижні тому, заявивши, що «компроміс стався не через порушення систем X, а через те, що невстановлена ​​особа отримала контроль над номером телефону, пов’язаним з обліковим записом @SECGov, через третю сторону».

SEC все ще проводить розслідування разом із правоохоронними та наглядовими органами, включаючи Федеральне бюро розслідувань, Міністерство внутрішньої безпеки, Комісію з торгівлі товарними ф’ючерсами та Міністерство юстиції.

Атаки обміну SIM-картами були поширеними у Крипто протягом багатьох років, коли зловмисники отримують доступ до телефонних номерів жертв, як правило, з метою викрадення їхніх активів. Friend.Tech користувачів були націлені минулого року, наприклад, коли зловмисники позбавляються ефірних ресурсів користувачів.

Читайте також: SEC коментує злом свого облікового запису X і оголошення про схвалення підробленого Bitcoin ETF