SEC отключила двухфакторную аутентификацию и учетная запись скомпрометирована.

Американский регулятор ценных бумаг и бирж (SEC) признал, что двухфакторная аутентификация на его аккаунте X была отключена с июля 2023 года.

Официальный аккаунт X SEC был скомпрометирован уже в этом месяце. Несанкционированное лицо смогло не только получить доступ к самому аккаунту, но и опубликовать фейковый пост, в котором объявлялось о утверждении биткоин-ETF.

Пост оставался на аккаунте примерно 15 минут, пока представитель SEC Гэри Генслер не зайдет в свой собственный аккаунт, чтобы объявить о компрометации аккаунта SEC.

В следующем заявлении, подробно описывая то, что произошло, SEC заявил, что служба поддержки X просила регуляторное агентство отключить многофакторную аутентификацию после того, как у них возникли проблемы с доступом к аккаунту.

`Многофакторная аутентификация оставалась отключенной до тех пор, пока персонал не включил ее заново после компрометации аккаунта 9 января. В настоящее время многофакторная аутентификация включена для всех социальных медиа-аккаунтов SEC, которые ее предлагают`, - говорится в заявлении.

Хакер смог получить доступ к аккаунту путем SIM-свопа, когда номер телефона передается на другое устройство без разрешения.

`Доступ к номеру телефона осуществлялся через оператора связи, а не через системы SEC. Представители SEC не обнаружили никаких доказательств того, что несанкционированная сторона получила доступ к системам SEC, данным, устройствам или другим социальным медиа-аккаунтам`, - отметила SEC.

Регулирующий орган сотрудничает с Федеральным бюро расследований, Департаментом внутренней безопасности, Министерством юстиции США и собственным Подразделением по правонарушениям, чтобы отследить злоумышленника. Ранее агентство сообщило, что в расследование включены ФБР и отдел кибербезопасности Министерства внутренней безопасности.

`В частности, правоохранительные органы в настоящее время расследуют, как несанкционированная сторона смогла убедить оператора изменить SIM-карту для аккаунта и как злоумышленник узнал, какой номер телефона был связан с аккаунтом`, - продолжается в заявлении.