SEC X-Kontoverletzung: SIM-Swap-Angriff umgangene deaktivierte MFA

• Das X-Konto der SEC wurde durch einen “SIM-Swap”-Angriff kompromittiert, bei dem die verknüpfte Telefonnummer gekapert wurde.
• Die Multi-Faktor-Authentifizierung (MFA) wurde auf Antrag der SEC im Juli 2023 deaktiviert.
• Die Untersuchung ist noch nicht abgeschlossen und konzentriert sich auf die Angriffsmethode und das Wissen des Angreifers über die Telefonnummer.

In einem kürzlich veröffentlichten Update zur Sicherheitsverletzung des offiziellen X-Kontos der SEC (@SECGov) gab die Regulierungsbehörde bekannt , dass der unbefugte Zugriff aufgrund eines SIM-Swap-Angriffs und einer deaktivierten Multi-Faktor-Authentifizierung (MFA) erfolgte.

Während der laufenden Ermittlungen enthüllte die SEC, dass die unbefugte Partei durch einen “SIM-Swap”-Angriff die Kontrolle über die mit dem Konto verknüpfte SEC-Telefonnummer erlangt hatte. Durch die Ausnutzung dieser Methode umging die unbefugte Partei den Schutz zum Zurücksetzen des Passworts und übernahm die Kontrolle über das @SECGov X-Konto.

Für diejenigen, die damit nicht vertraut sind: SIM-Swapping ist eine Technik, bei der ein Angreifer einen Telekommunikationsanbieter dazu bringt, eine Telefonnummer auf ein neues Gerät zu übertragen. Auf diese Weise kann der Angreifer Anrufe und SMS empfangen, die für den ursprünglichen Besitzer bestimmt sind.

Die SEC stellte jedoch klar, dass der “Zugriff auf die Telefonnummer über den Telekommunikationsanbieter und nicht über SEC-Systeme erfolgte”. Die SEC versicherte der Öffentlichkeit, dass trotz des unbefugten Zugriffs ihre Systeme, Daten, Geräte und andere Social-Media-Konten sicher bleiben.

Die SEC betonte, dass die Strafverfolgungsbehörden nun aktiv untersuchen, wie der Angreifer den Telekommunikationsanbieter davon überzeugt hat, den SIM-Tausch durchzuführen, und wie er die spezifische Telefonnummer identifiziert hat, die mit dem @SECGov X-Konto verbunden ist.

Darüber hinaus ging aus der Erklärung hervor, dass MFA, eine zusätzliche Sicherheitsebene, im Juli 2023 auf Wunsch von SEC-Mitarbeitern aufgrund von Zugriffsproblemen auf dem Konto deaktiviert wurde. Diese wichtige Sicherheitsmaßnahme wurde erst nach dem Hack wieder aktiviert, so dass das Konto bis dahin angreifbar blieb.

Die unbefugte Partei, die das kompromittierte X-Konto ausnutzte, machte am 9. Januar falsche Ankündigungen über die Genehmigung von börsengehandelten Bitcoin-Spot-Fonds durch die Kommission.

Der Vorsitzende Gary Gensler räumte die Auswirkungen des Vorfalls auf das Vertrauen der Anleger und die Marktstabilität ein und erklärte: “Die SEC nimmt ihre Verpflichtungen zur Cybersicherheit ernst.” Die Behörde bestätigte die laufende Koordination mit verschiedenen Strafverfolgungs- und Bundesaufsichtsbehörden, darunter das OIG, das FBI, CISA, CFTC, DOJ und die SEC-eigene Abteilung für Durchsetzung, um den Angriff und seine Auswirkungen zu untersuchen.