Команда безопасности X сообщила, что Комиссия по ценным бумагам и биржам США (SEC) не включила двухфакторную аутентификацию (2FA) на своей учетной записи, что дало возможность хакеру получить к ней доступ. Это постыдное разоблачение последовало за потрясшим сегодня криптовалютный рынок фейковым сообщением об одобрении спотовых биткоин-ETF.
Взлом SEC произошел из-за того, что неизвестный злоумышленник получил контроль над номером телефона, связанным с учетной записью, и использовал его доступа к официальной странице X SEC. Таким образом, речь идет о SIM-свопинге.
«Основываясь на нашем расследовании, компрометация произошла не из-за какого-либо нарушения в системах X, а из-за того, что неустановленное лицо получило контроль над номером телефона, связанным с учетной записью @SECGov», — написала команда безопасности X. «Кроме того, мы подтверждаем, что в момент взлома учетной записи двухфакторная аутентификация не была включена».
Вероятно, хакер сумел убедить провайдера телефонной связи передать ему контроль над телефонным номером, привязанным к учетной записи SEC. Судя по всему, хакер также знал правильный адрес электронной почты, используемый для входа в учетную запись, что позволило ему использовать номер телефона для того, чтобы сбросить официальный пароль учетной записи SEC и получить доступ.
Сенаторы США Дж. Ди Вэнс (J.D. Vance) и Том Тиллис (Thom Tillis) написали письмо председателю SEC Гэри Генслеру, в котором обвинили агентство в недостаточной операционной безопасности и потребовали объяснить инцидент в течение следующих четырех дней.
«Произошедшее вызывает серьезную обеспокоенность относительно внутренних процедур Комиссии по кибербезопасности и противоречат ее миссии по защите инвесторов», — сказано в письме.
Несколько членов Конгресса США также потребовали официального расследования инцидента. Сенатор Билл Хагерти (Bill Hagerty) позвонил в SEC и заявил, что если бы источником проблемы был кто-то другой, то агентство само потребовало бы расследования.
«Точно так же, как SEC призвала бы к ответственности публичную компанию, которая допустила бы такую колоссальную ошибку, влияющую на рынок, Конгрессу нужны ответы по поводу того, что только что произошло. Это неприемлемо», — сказал он.
Сенатор США Синтия Лумисс (Cynthia Lumiss) добавила свой голос к хору возмущенных и потребовала информационной прозрачности в отношении «мошеннических объявлений».
Владелец X и генеральный директор Tesla Илон Маск категорически опроверг сделанное ранее CNBC заявление о том, что взлом SEC произошел в результате взлома внутренних систем X.
«Так работают устаревшие СМИ», — написал он. Ранее Маск предположил, что паролем SEC было LFGDogeToTheMoon.
▼
