Violación de la cuenta SEC X: el ataque de intercambio de SIM pasó por alto la MFA deshabilitada

• La cuenta X de SEC se vio comprometida a través de un ataque de «intercambio de SIM», secuestrando el número de teléfono vinculado.
• La autenticación multifactor (MFA) se desactivó a petición de la SEC en julio de 2023.
• Investigación en curso, centrándose en el método de ataque y el conocimiento del número de teléfono por parte del atacante.

En una actualización reciente sobre la violación de seguridad de la cuenta oficial X (@SECGov) de la SEC, el regulador reveló que se produjo un acceso no autorizado debido a un ataque de intercambio de SIM y una función de autenticación multifactor (MFA) deshabilitada.

Durante la investigación en curso, la SEC reveló que la parte no autorizada obtuvo el control del número de teléfono de la SEC vinculado a la cuenta a través de un ataque de «intercambio de SIM». Al explotar este método, la parte no autorizada eludió las protecciones de restablecimiento de contraseña y tomó el control de la cuenta de @SECGov X.

Para aquellos que no están familiarizados, el intercambio de SIM es una técnica en la que un atacante engaña a un operador de telecomunicaciones para que transfiera un número de teléfono a un nuevo dispositivo. Esto permite al atacante recibir llamadas y mensajes de texto destinados al propietario original.

Sin embargo, la SEC aclaró que el «acceso al número de teléfono se produjo a través del operador de telecomunicaciones, no a través de los sistemas de la SEC». La SEC aseguró al público que, a pesar del acceso no autorizado, sus sistemas, datos, dispositivos y otras cuentas de redes sociales siguen siendo seguros.

La SEC subrayó que las fuerzas del orden ahora están investigando activamente cómo el atacante convenció al operador de telecomunicaciones para que realizara el intercambio de SIM y cómo identificaron el número de teléfono específico asociado con la cuenta de @SECGov X.

Además, el comunicado reveló que MFA, una capa de seguridad adicional, se desactivó en la cuenta en julio de 2023 a petición del personal de la SEC debido a problemas de acceso. Esta medida de seguridad crítica solo se volvió a habilitar después del hackeo, dejando la cuenta vulnerable hasta entonces.

La parte no autorizada, explotando la cuenta X comprometida, hizo anuncios falsos el 9 de enero con respecto a la aprobación por parte de la Comisión de los fondos cotizados en bolsa de bitcoin al contado.

Reconociendo el impacto del incidente en la confianza de los inversores y la estabilidad del mercado, el presidente Gary Gensler declaró: «La SEC se toma en serio sus obligaciones de ciberseguridad». La agencia confirmó la coordinación en curso con varias entidades policiales y de supervisión federal, incluida la Oficina del Inspector General de la SEC, el FBI, la CISA, la CFTC, el Departamento de Justicia y la propia División de Cumplimiento de la SEC, para investigar el ataque y sus implicaciones.