SEC вимкнула двофакторну аутентифікацію, а обліковий запис компрометовано.

Американський регулятор цінних паперів та бірж (SEC) визнав, що двофакторна аутентифікація на його обліковому записі X була вимкнена з липня 2023 року.

Офіційний обліковий запис X SEC було скомпрометовано вже в цьому місяці. Неуповноважена особа змогла не тільки отримати доступ до самого облікового запису, але й опублікувати фейковий пост, в якому оголошувалося про затвердження біткоін-ETF.

Пост залишався на обліковому записі приблизно 15 хвилин, поки представник SEC Гері Генслер не забув до свого власного облікового запису, щоб оголосити про компрометацію облікового запису SEC.

У наступній заяві, детально описуючи те, що сталося, SEC заявив, що служба підтримки X просила регуляторну агенцію вимкнути багатофакторну аутентифікацію після того, як у них виникли проблеми з доступом до облікового запису.

`Багатофакторна аутентифікація залишалася вимкненою до тих пір, поки персонал не увімкнув її знову після компрометації облікового запису 9 січня. Наразі багатофакторна аутентифікація включена для всіх соціальних медіа-акаунтів SEC, які її пропонують`, - йдеться у заяві.

Хакер зміг отримати доступ до облікового запису шляхом SIM-свопу, коли номер телефону передається на інший пристрій без дозволу.

`Доступ до номера телефону здійснювався через оператора зв`язку, а не через системи SEC. Представники SEC не виявили жодних доказів того, що неуповноважена сторона отримала доступ до систем SEC, даних, пристроїв або інших соціальних медіа-акаунтів`, - зазначила SEC.

Регулюючий орган співпрацює з Федеральним бюро розслідувань, Департаментом внутрішньої безпеки, Міністерством юстиції США та власним Підрозділом з правопорушень, щоб відстежити зловмисника. Раніше агенція повідомила, що в розслідування включені ФБР та відділ кібербезпеки Міністерства внутрішньої безпеки.

`Зокрема, правоохоронні органи в даний час розслідують, як неуповноважена сторона змогла переконати оператора змінити SIM-карту для облікового запису і як зловмисник дізнався, який номер телефону був пов`язаний з обліковим записом`, - продовжується у заяві.