Η Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) μίλησε για την πρόσφατη παραβίαση του λογαριασμού της στο κοινωνικό δίκτυο X και είπε ότι έγινε μέσω SIM-swapping επίθεσης στον αριθμό κινητού τηλεφώνου που ήταν συνδεδεμένος με τον λογαριασμό.
Πρόσφατα, ο λογαριασμός X της SEC παραβιάστηκε και δημοσίευσε μια ψεύτικη ανακοίνωση για μια υποτιθέμενη έγκριση των Bitcoin ETFs σε security exchanges.
Δεν ήταν ξεκάθαρο πώς παραβιάστηκε ο λογαριασμός, με την SEC να δηλώνει τότε ότι γίνεται έρευνα και ότι θα ενημερώσει σχετικά με τα ευρήματά της.
Η ενημέρωση ήρθε τώρα, με τη SEC να λέει ότι όλα ξεκίνησαν από μια SIM-swapping επίθεση.
 μίλησε για την παραβίαση του λογαριασμού της στο X και είπε ότι έγινε μέσω SIM-swapping){kind=link}
Δείτε επίσης: SIM swapping επιθέσεις: Τι είναι και πώς να προστατευτείτε;
“Δύο ημέρες μετά το συμβάν, σε συνεννόηση με τον πάροχο τηλεπικοινωνιών της SEC, διαπιστώθηκε ότι το μη εξουσιοδοτημένο μέρος απέκτησε τον έλεγχο του αριθμού κινητού τηλεφώνου που σχετίζεται με τον λογαριασμό της SEC, σε μια προφανή επίθεση SIM swap“, εξηγεί η δήλωση της SEC.
Στις SIM swapping επιθέσεις, οι επιτιθέμενοι ξεγελούν τον πάροχο τηλεπικοινωνιών του θύματος και τον πείθουν να μεταφέρει τον αριθμό τηλεφώνου σε μια συσκευή υπό τον έλεγχο του εισβολέα. Έτσι ο επιτιθέμενος παίρνει τον έλεγχο του αριθμού, το οποίο σημαίνει ότι όλες οι κλήσεις και τα μηνύματα του θύματος φτάνουν στη δική του συσκευή. Αυτό σημαίνει ότι στέλνονται στον επιτιθέμενο και τα password reset links και οι κωδικοί πρόσβασης μιας χρήσης, που χρησιμοποιούνται στον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA).
Σύμφωνα με την SEC, οι hackers δεν είχαν πρόσβαση στα εσωτερικά συστήματα της υπηρεσίας, τα δεδομένα, τις συσκευές ή άλλους λογαριασμούς μέσων κοινωνικής δικτύωσης. Μόλις απέκτησαν τον αριθμό, επανέφεραν τον κωδικό πρόσβασης για τον λογαριασμό @SECGov στο X και δημιούργησαν την ψεύτικη ανακοίνωση για τα Bitcoin ETFs.
Η SEC λέει ότι συνεχίζει να συνεργάζεται με τις αρχές επιβολής του νόμου για να διερευνήσει περαιτέρω το περιστατικό.
Η SEC επιβεβαίωσε, επίσης, ότι ο έλεγχος ταυτότητας πολλαπλών παραγόντων δεν ήταν ενεργοποιημένος στον λογαριασμό, καθώς τον είχαν απενεργοποιήσει όταν αντιμετώπισαν προβλήματα κατά τη σύνδεση. Βέβαια, στη συγκεκριμένη περίπτωση, οι hackers θα μπορούσαν να παραβιάσουν το λογαριασμό X της SEC ακόμα και με ενεργοποιημένο τον έλεγχο, αφού θα λάμβαναν τον κωδικό μιας χρήσης στον αριθμό που είχαν κλέψει.
Δείτε επίσης: SIM swapper καταδικάστηκε σε 8 χρόνια φυλάκισης για παραβίαση λογαριασμών
Ωστόσο, εάν αντί για μήνυμα με τον κωδικό μιας χρήσης, χρησιμοποιούνταν μια εφαρμογή ελέγχου ταυτότητας, οι hackers δεν θα μπορούσαν να συνδεθούν στο account.
Για αυτόν τον λόγο, συνιστάται πάντα η χρήση του MFA μόνο με hardware security key ή εφαρμογή ελέγχου ταυτότητας και όχι μέσω SMS.
Ο λογαριασμός της SEC δεν ήταν ο μόνος λογαριασμός Χ που παραβιάστηκε αυτό το διάστημα για μια crypto απάτη. Οι λογαριασμοί των Netgear και Hyundai, καθώς και της εταιρείας κυβερνοασφάλειας Mandiant βρέθηκαν, επίσης, στο στόχαστρο των hackers. Επιπλέον, η πλατφόρμα κατακλύστηκε από κακόβουλες διαφημίσεις που προωθούσαν απάτες κρυπτονομισμάτων και crypto drainers. Δυστυχώς, δεν φαίνεται να υπάρχει ένα τέλος, με τους χρήστες να δηλώνουν απογοητευμένοι με τη συνεχή ροή κακόβουλων διαφημίσεων.
Πώς οι εταιρείες μπορούν να δυσκολέψουν την παραβίαση των X accounts τους;
Ένας από τους πιο αποτελεσματικούς τρόπους για την προστασία από τέτοιες παραβιάσεις είναι η χρήση ισχυρών και μοναδικών κωδικών πρόσβασης για κάθε λογαριασμό.
Επιπλέον, η χρήση ελέγχου ταυτότητας πολλαπλών παραγόντων μπορεί να προσφέρει extra προστασία. Αυτό σημαίνει ότι, ακόμη και αν ο κωδικός πρόσβασης ενός χρήστη παραβιαστεί, οι hackers θα χρειαστεί να ξεπεράσουν ένα δεύτερο εμπόδιο για να αποκτήσουν πρόσβαση στον λογαριασμό.
Δείτε επίσης: Οι χρήστες του Χ είναι απογοητευμένοι από τη συνεχή ροή κακόβουλων crypto ads
Επίσης, είναι σημαντικό να γίνεται τακτική ενημέρωση του λογισμικού και του λειτουργικού συστήματος των συσκευών, καθώς οι ενημερώσεις αυτές συχνά περιλαμβάνουν διορθώσεις ασφαλείας που μπορούν να προστατεύσουν από νέες απειλές.
Η χρήση λογισμικού antivirus είναι επίσης ένας καλός τρόπος προστασίας. Αυτά τα εργαλεία μπορούν να ανιχνεύσουν και να απομακρύνουν τις απειλές πριν αυτές προκαλέσουν ζημιά.
Τέλος, η εκπαίδευση των χρηστών για τις τακτικές που χρησιμοποιούν οι hackers για να αποκτήσουν πρόσβαση στους λογαριασμούς X μπορεί να βοηθήσει στην πρόληψη των επιθέσεων.
Πηγή: www.bleepingcomputer.com