Violação da conta SEC X: Ataque de troca de SIM ignorado MFA desativado

• A conta X da SEC foi comprometida por meio de um ataque de “troca de SIM”, sequestrando o número de telefone vinculado.
• A autenticação multifator (MFA) foi desativada a pedido da SEC em julho de 2023.
• Investigação em andamento, com foco no método de ataque e no conhecimento do atacante sobre o número de telefone.

Em uma atualização recente sobre a violação de segurança da conta oficial X (@SECGov) da SEC, o regulador divulgou que o acesso não autorizado ocorreu devido a um ataque de troca de SIM e um recurso de autenticação multifator (MFA) desativado.

Durante a investigação em andamento, a SEC revelou que a parte não autorizada ganhou o controle do número de telefone da SEC vinculado à conta por meio de um ataque de “troca de SIM”. Ao explorar esse método, a parte não autorizada contornou as proteções de redefinição de senha e assumiu o controle da conta @SECGov X.

Para quem não conhece, a troca de SIM é uma técnica em que um invasor engana uma operadora de telecomunicações para transferir um número de telefone para um novo dispositivo. Isso permite que o invasor receba chamadas e mensagens de texto destinadas ao proprietário original.

A SEC, no entanto, esclareceu que o “acesso ao número de telefone ocorreu por meio da operadora de telecomunicações, não por meio dos sistemas da SEC”. A SEC garantiu ao público que, apesar do acesso não autorizado, seus sistemas, dados, dispositivos e outras contas de mídia social permanecem seguros.

A SEC ressaltou que a polícia agora está investigando ativamente como o invasor convenceu a operadora de telecomunicações a realizar a troca de SIM e como eles identificaram o número de telefone específico associado à conta @SECGov X.

Além disso, o comunicado revelou que o MFA, uma camada de segurança adicional, foi desativado na conta em julho de 2023 a pedido da equipe da SEC devido a problemas de acesso. Essa medida de segurança crítica só foi reativada após a invasão, deixando a conta vulnerável até então.

A parte não autorizada, explorando a conta X comprometida, fez anúncios falsos em 9 de janeiro sobre a aprovação da Comissão de fundos negociados em bolsa de bitcoin à vista.

Reconhecendo o impacto do incidente na confiança dos investidores e na estabilidade do mercado, o presidente Gary Gensler afirmou: “A SEC leva suas obrigações de segurança cibernética a sério”. A agência confirmou a coordenação contínua com várias entidades de aplicação da lei e supervisão federal, incluindo o OIG da SEC, FBI, CISA, CFTC, DOJ e a própria Divisão de Execução da SEC, para investigar o ataque e suas implicações.