La SEC a désactivé la sécurité supplémentaire sur X pendant environ 6 mois, permettant ainsi aux pirates informatiques de s'introduire
Le régulateur américain a confirmé qu'il n'avait T suivi ses propres conseils de sécurité pendant une grande partie de 2023, ce qui laissait la porte ouverte à un piratage coûteux des réseaux sociaux qui fait toujours l'objet d'une enquête.
:format(webp)/cloudfront-us-east-1.images.arcpublishing.com/coindesk/Q732EEHEMZEW3JFZZ3YUBMVQB4.jpg)
- La Securities and Exchange Commission des États-Unis a reconnu qu'un pirate informatique avait réussi à s'emparer de ONEun des téléphones portables de l'agence pour pirater son compte X et publier des articles sur l'ETF Bitcoin au comptant.
- Le régulateur avait désactivé son authentification multifacteur dès juillet 2023.
La Securities and Exchange Commission (SEC) des États-Unis a confirmé qu'un pirate informatique avait pris le contrôle de son compte X via une attaque « SIM swap » qui a pris le contrôle d'un téléphone portable associé au compte. Cela a permis à l'étranger de tweeter faussement le 9 janvier que l'agence avait approuvé les fonds négociés en bourse (ETF) Bitcoin au comptant, un jour avant que l'agence ne le fasse réellement.
"L'accès au numéro de téléphone s'est fait via l'opérateur de télécommunications, et non via les systèmes SEC", a déclaré lundi un porte-parole de l'agence dans un communiqué. "Le personnel de la SEC n'a identifié aucune preuve que la partie non autorisée a eu accès aux systèmes, données, appareils ou autres comptes de réseaux sociaux de la SEC." La SEC n'a pas identifié l'identité de l'opérateur de télécommunications.
L'agence avait également désactivé son authentification multifacteur sur le compte en juillet 2023 "en raison de problèmes d'accès au compte", a indiqué le porte-parole. Cette protection a depuis été réactivée.
La faille de sécurité embarrassante – de la part d'une agence bien connue pour conseiller aux investisseurs d'assurer une sécurité adéquate et de maintenir une authentification multifactorielle sur leurs comptes financiers – a permis une publication sur X sous le compte @SECGov qui a amené beaucoup à croire que l'agence avait approuvé son approbation très attendue pour les ETF. Les fausses nouvelles ont ému les Marchés avant qu’il soit rapidement déterminé qu’il s’agissait d’un piratage.
"Une fois en contrôle du numéro de téléphone, la partie non autorisée a réinitialisé le mot de passe du compte @SECGov", a déclaré le porte-parole. "Entre autres choses, les forces de l'ordre enquêtent actuellement sur la façon dont la partie non autorisée a amené l'opérateur à changer la carte SIM du compte et comment la partie savait quel numéro de téléphone était associé au compte."
Peu de temps après le piratage, la SEC a sérieusement décidé d'approuver les ETF Bitcoin .
X – anciennement connu sous le nom de Twitter – a partagé une vision similaire du piratage de la SEC dans un communiqué il y a deux semaines , affirmant que « la compromission n'était pas due à une violation des systèmes de X, mais plutôt au fait qu'un individu non identifié avait obtenu le contrôle d'un numéro de téléphone associé ». avec le compte @SECGov via un tiers."
La SEC enquête toujours aux côtés des organismes d'application de la loi et de surveillance, notamment le Federal Bureau of Investigation, le Department of Homeland Security, la Commodity Futures Trading Commission et le ministère de la Justice.
Les attaques par échange de carte SIM sont courantes dans le Crypto depuis des années, les attaquants ayant accès aux numéros de téléphone des victimes, généralement dans le but de voler leurs avoirs. Les utilisateurs de Friend.Tech ont été ciblés l'année dernière , par exemple, par des attaquants s'emparant des avoirs en Ether des utilisateurs.
