ABD Menkul Kıymetler ve Borsa Komisyonu bugün, X hesabının hesapla ilişkili cep telefonu numarasına SIM değiştiren bir saldırı nedeniyle saldırıya uğradığını doğruladı.
Bu ayın başlarında, SEC'in X hesabı, ajansın nihayet Bitcoin ETF'lerini güvenlik borsalarında onayladığı konusunda sahte bir açıklama yapmak için saldırıya uğradı.
İronik olarak, SEC ertesi gün meşru bir duyuruda Bitcoin ETF'lerini onayladı.
Bununla birlikte, o zaman, hesabın nasıl ihlal edildiği açık değildi, SEC, mevcut hale geldikçe soruşturmaları hakkında güncellemeler sağlayacaklarını belirtti.
Bugün SEC, X hesabıyla ilişkili bir cep telefonu hesabının SIM değiştiren bir saldırı yaşadığını doğruladı.
"Olaydan iki gün sonra, SEC'in telekom taşıyıcısına danışarak, SEC, yetkisiz tarafın, görünür bir 'SIM takas' saldırısında hesapla ilişkili SEC cep telefonu numarasının kontrolünü aldığını belirledi." İhlalde.
SIM değiştirme saldırılarında, tehdit aktörleri bir kurbanın kablosuz taşıyıcısını bir müşterinin telefon numarasını saldırganın kontrolü altındaki bir cihaza taşımaya kandırır. Bu, cihaza gönderilen tüm metinlerin ve telefon görüşmelerinin, şifre sıfırlama bağlantıları ve çok faktörlü kimlik doğrulama (MFA) için tek seferlik parolalar dahil olmak üzere bilgisayar korsanları tarafından alınmasını sağlar.
SEC'e göre, bilgisayar korsanlarının ajansın dahili sistemlerine, verilerine, cihazlarına veya diğer sosyal medya hesaplarına erişimi yoktu ve SIM takası, mobil taşıyıcılarını numarayı taşıyarak kandırarak meydana geldi.
Tehdit aktörleri numarayı kontrol ettikten sonra, sahte duyuru oluşturmak için @Secgov hesabının şifresini sıfırlarlar.
SEC, saldırganların mobil taşıyıcılarıyla SIM değiştiren saldırıyı nasıl yürüttüğünü araştırmak için kolluk kuvvetleriyle çalışmaya devam ettiklerini söylüyor.
SEC ayrıca, X desteğini hesaba oturum açan sorunlarla karşılaştıklarında devre dışı bırakmalarını istedikleri için çok faktörlü kimlik doğrulamanın hesapta etkinleştirilmediğini de doğruladı.
MFA SMS aracılığıyla etkinleştirilmiş olsaydı, bilgisayar korsanları bir kerelik pasodları aldıkları için hesabı hala ihlal edebilirdi.
Ancak, güvenlik ayarı bir kimlik doğrulama uygulaması kullanacak şekilde yapılandırılmış olsaydı, saldırganlar şifreyi değiştirdikten sonra bile tehdit aktörlerinin hesaba giriş yapmasını engellerdi.
Bu nedenle, MFA'nın SMS'den ziyade yalnızca bir donanım güvenlik anahtarı veya bir kimlik doğrulama uygulaması ile kullanılması önerilir.
X, geçtiğimiz yıl, hacklenen hesaplar ve kripto para birimi dolandırıcılığı ve cüzdan süzerlerini tanıtan kötü niyetli reklamlarla boğuştu.
Ne yazık ki, görünürde bir son gibi görünmüyor, kullanıcılar artık sürekli bir kötü amaçlı reklam akışı gibi hissettiriyorlar.
US Sec’in X hesabı sahte Bitcoin ETF onayını duyurmak için saldırıya uğradı
Maniant'ın X hesabı Hizmet Olarak Kripto S doğrulaması tarafından hacklendi
Netgear, Hyundai Son X Hesapları Kripto S doğrulamasına zorlandı
X kullanıcıları sürekli kötü niyetli kripto reklam akışından bıkmış
Web3 Güvenlik Firması Certik'in X Hesabı Kripto S doğrulamasına zorlandı
Kaynak: Bleeping Computer