Violation de compte SEC X : attaque par échange de carte SIM contournée par MFA désactivée

• Le compte X de la SEC a été compromis par une attaque de type « échange de carte SIM », qui a détourné le numéro de téléphone lié.
• L’authentification multifacteur (MFA) a été désactivée à la demande de la SEC en juillet 2023.
• L’enquête est en cours, axée sur la méthode d’attaque et la connaissance du numéro de téléphone par l’attaquant.

Dans une récente mise à jour sur la faille de sécurité du compte X officiel de la SEC (@SECGov), le régulateur a révélé qu’un accès non autorisé s’était produit en raison d’une attaque par échange de carte SIM et d’une fonction d’authentification multifacteur (MFA) désactivée.

Au cours de l’enquête en cours, la SEC a révélé que la partie non autorisée avait pris le contrôle du numéro de téléphone de la SEC lié au compte par le biais d’une attaque par « échange de carte SIM ». En exploitant cette méthode, la partie non autorisée a contourné les protections de réinitialisation de mot de passe et a pris le contrôle du compte @SECGov X.

Pour ceux qui ne le savent pas, l’échange de carte SIM est une technique par laquelle un attaquant trompe un opérateur de télécommunications pour qu’il transfère un numéro de téléphone vers un nouvel appareil. Cela permet à l’attaquant de recevoir des appels et des SMS destinés au propriétaire d’origine.

La SEC a toutefois précisé que « l’accès au numéro de téléphone s’est fait via l’opérateur de télécommunications, et non via les systèmes de la SEC ». La SEC a assuré au public que malgré l’accès non autorisé, ses systèmes, ses données, ses appareils et ses autres comptes de médias sociaux restent sécurisés.

La SEC a souligné que les forces de l’ordre enquêtent activement à la fois sur la façon dont l’attaquant a convaincu l’opérateur de télécommunications d’effectuer l’échange de carte SIM et sur la façon dont ils ont identifié le numéro de téléphone spécifique associé au compte @SECGov X.

En outre, la déclaration a révélé que l’authentification multifacteur, une couche de sécurité supplémentaire, a été désactivée sur le compte en juillet 2023 à la demande du personnel de la SEC en raison de problèmes d’accès. Cette mesure de sécurité critique n’a été réactivée qu’après le piratage, laissant le compte vulnérable jusque-là.

La partie non autorisée, exploitant le compte X compromis, a fait de fausses annonces le 9 janvier concernant l’approbation par la Commission des fonds négociés en bourse bitcoin au comptant.

Reconnaissant l’impact de l’incident sur la confiance des investisseurs et la stabilité du marché, le président Gary Gensler a déclaré : « La SEC prend au sérieux ses obligations en matière de cybersécurité. » L’agence a confirmé une coordination continue avec diverses entités chargées de l’application de la loi et de la surveillance fédérale, notamment le BIG de la SEC, le FBI, la CISA, la CFTC, le DOJ et la propre division de l’application de la SEC, pour enquêter sur l’attaque et ses implications.