Pelanggaran Akun X SEC: Serangan SIM Swap Dilewati oleh MFA yang Dinonaktifkan

• Akun X SEC disusupi melalui serangan “SIM swap,” membajak nomor telepon yang ditautkan.
• Autentikasi multifaktor (MFA) dinonaktifkan atas permintaan SEC pada Juli 2023.
• Investigasi sedang berlangsung, berfokus pada metode serangan dan pengetahuan penyerang tentang nomor telepon.

Dalam pembaruan terbaru tentang pelanggaran keamanan akun X resmi SEC (@SECGov), regulator mengungkapkan bahwa akses tidak sah terjadi karena serangan SIM swap dan fitur otentikasi multi-faktor (MFA) yang dinonaktifkan.

Selama penyelidikan yang sedang berlangsung, SEC mengungkapkan bahwa pihak yang tidak berwenang memperoleh kendali atas nomor telepon SEC yang ditautkan ke akun melalui serangan “SIM swap.” Dengan memanfaatkan metode ini, pihak yang tidak berwenang melewati perlindungan pengaturan ulang kata sandi dan mengambil kendali atas akun @SECGov X.

Bagi mereka yang tidak terbiasa, SIM swapping adalah teknik di mana penyerang menipu operator telekomunikasi untuk mentransfer nomor telepon ke perangkat baru. Hal ini memungkinkan penyerang untuk menerima panggilan dan teks yang dimaksudkan untuk pemilik aslinya.

Namun SEC mengklarifikasi bahwa “akses ke nomor telepon terjadi melalui operator telekomunikasi, bukan melalui sistem SEC.” SEC meyakinkan publik bahwa meskipun akses tidak sah, sistem, data, perangkat dan akun media sosial lainnya tetap aman.

SEC menggarisbawahi bahwa penegak hukum sekarang secara aktif menyelidiki bagaimana penyerang meyakinkan operator telekomunikasi untuk melakukan SIM swap dan bagaimana mereka mengidentifikasi nomor telepon tertentu yang terkait dengan akun @SECGov X.

Lebih lanjut, pernyataan tersebut mengungkapkan bahwa MFA, lapisan keamanan tambahan, dinonaktifkan pada akun tersebut pada Juli 2023 atas permintaan staf SEC karena masalah akses. Tindakan keamanan kritis ini hanya diaktifkan kembali setelah peretasan, membuat akun rentan hingga saat itu.

Pihak yang tidak berwenang, mengeksploitasi akun X yang dikompromikan, membuat pengumuman palsu pada 9 Januari mengenai persetujuan Komisi itu atas exchange-traded fund Bitcoin spot.

Mengakui dampak insiden tersebut terhadap kepercayaan investor dan stabilitas pasar, Ketua Gary Gensler menyatakan, “SEC menganggap serius kewajiban keamanan sibernya.” Badan tersebut mengonfirmasi koordinasi yang sedang berlangsung dengan berbagai penegak hukum dan entitas pengawasan federal termasuk OIG SEC, FBI, CISA, CFTC, DOJ, dan Divisi Penegakan SEC sendiri, untuk menyelidiki serangan dan implikasinya.