SEC xác nhận tài khoản X đã bị hack trong cuộc tấn công hoán đổi SIM



Trớ trêu thay, SEC đã phê duyệt Bitcoin ETF trong một thông báo hợp pháp vào ngày hôm sau.

Tuy nhiên, vào thời điểm đó, vẫn chưa rõ tài khoản đã bị xâm phạm như thế nào và SEC tuyên bố rằng họ sẽ cung cấp thông tin cập nhật về cuộc điều tra khi có thông tin.

Ngày 22 tháng 1, SEC đã xác nhận rằng một tài khoản điện thoại di động được liên kết với tài khoản X đã bị tấn công hoán đổi SIM.

Thông cáo báo chí cập nhật của SEC giải thích: “Hai ngày sau khi vụ việc xảy ra, với sự tham vấn của nhà cung cấp dịch vụ viễn thông của SEC, SEC đã xác định rằng bên trái phép đã giành được quyền kiểm soát số điện thoại di động của SEC được liên kết với tài khoản trong một cuộc tấn công ‘hoán đổi SIM’ rõ ràng”, thông cáo báo chí cập nhật của SEC giải thích về vi phạm.

Trong các cuộc tấn công hoán đổi SIM, kẻ tấn công lừa nhà cung cấp dịch vụ không dây của nạn nhân chuyển số điện thoại của khách hàng sang thiết bị do kẻ tấn công kiểm soát. Điều này cho phép tin tặc truy xuất tất cả tin nhắn văn bản và cuộc gọi điện thoại gửi tới thiết bị, bao gồm các liên kết đặt lại mật khẩu và mật mã một lần để xác thực đa yếu tố (MFA).

Theo SEC, tin tặc không có quyền truy cập vào hệ thống nội bộ, dữ liệu, thiết bị hoặc các tài khoản mạng xã hội khác của cơ quan và việc hoán đổi SIM xảy ra bằng cách lừa nhà cung cấp dịch vụ di động của họ chuyển số.

Sau khi kẻ đe dọa kiểm soát số điện thoại, chúng sẽ đặt lại mật khẩu cho tài khoản @SECGov để tạo thông báo giả mạo.

SEC cho biết họ tiếp tục hợp tác với cơ quan thực thi pháp luật để điều tra cách những kẻ tấn công thực hiện cuộc tấn công hoán đổi SIM với nhà cung cấp dịch vụ di động của họ.

SEC cũng xác nhận rằng xác thực đa yếu tố không được kích hoạt trên tài khoản vì họ đã yêu cầu bộ phận hỗ trợ X vô hiệu hóa nó khi họ gặp sự cố khi đăng nhập vào tài khoản.

Nếu MFA được kích hoạt qua SMS, tin tặc vẫn có thể xâm nhập vào tài khoản vì chúng đã nhận được mật mã một lần.

Tuy nhiên, nếu cài đặt bảo mật đã được định cấu hình để sử dụng ứng dụng xác thực, nó sẽ ngăn các tác nhân đe dọa đăng nhập vào tài khoản, ngay cả sau khi kẻ tấn công đã thay đổi mật khẩu.

Vì lý do này, SEC luôn khuyên rằng chỉ nên sử dụng MFA với khóa bảo mật phần cứng hoặc ứng dụng xác thực thay vì qua SMS.

X đã gặp khó khăn trong năm qua với các tài khoản bị hack và các quảng cáo độc hại nhằm mục đích lừa đảo tiền điện tử và rút tiền ví.

Thật không may, dường như vẫn chưa có điểm kết thúc, khi người dùng hiện đã chán ngấy với những dòng quảng cáo độc hại liên tục xuất hiện.

Nguồn: bleepingcomputer.com