SEC macht ‘SIM-Swap’-Angriff für gehacktes X-Konto verantwortlich

In einer überraschenden Wendung der Ereignisse hat die US-amerikanische Börsenaufsichtsbehörde Securities and Exchange Commission (SEC) bestätigt, dass sie Opfer eines Cyberangriffs geworden ist. Laut einem Sprecher der SEC erfolgte der Angriff durch einen sogenannten “SIM-Swap”, was zu einer inkorrekten Mitteilung am 9. Januar über die Genehmigung von Spot Bitcoin Exchange-Traded Funds (ETFs) führte.

Unbefugte erlangten Zugang zum Konto

Am 22. Januar erklärte die SEC, dass nach Konsultationen mit ihrem Telekommunikationsanbieter festgestellt wurde, dass Unbefugte die Kontrolle über die SEC-Telefonnummer erlangt hatten, die mit ihrem Konto verknüpft war. Dies wurde erreicht, indem die SIM-Karte der Telefonnummer in einem offensichtlichen SIM-Swap-Angriff geändert wurde.

Die Eindringlinge konnten das Passwort des @SECGov Twitter-Kontos zurücksetzen, nachdem sie die Kontrolle über die Telefonnummer erlangt hatten. Dadurch konnten sie irreführende Informationen über die Genehmigung der Bitcoin ETFs verbreiten.

Untersuchung der unbefugten Partei

Weitere Untersuchungen ergaben, dass die Strafverfolgungsbehörden nun versuchen festzustellen, wie die unbefugte Partei den Anbieter überzeugen konnte, die SIM-Karte zu ändern und wie sie die spezifische Telefonnummer mit dem SEC-Konto in Verbindung brachten.

Bemerkenswert war, dass die SEC auch offenbarte, dass ein Mitarbeiter sechs Monate vor dem Angriff die Multifaktor-Authentifizierung, eine wichtige Sicherheitsmaßnahme, aufgrund von Zugriffsproblemen zum Konto entfernt hatte. Diese Sicherheitsmaßnahme wurde erst nach dem Angriff am 9. Januar wiederhergestellt.

Kein Beweis für Zugang zu anderen Systemen

Die SEC betonte, dass kein Beweis gefunden wurde, dass die Eindringlinge Zugang zu anderen Systemen, Daten oder Social-Media-Konten der SEC hatten.

SIM-Swapping, die Technik, die bei diesem Angriff verwendet wurde, bedeutet, dass Angreifer die Kontrolle über eine Telefonnummer erlangen, indem sie diese einem neuen Gerät zuweisen.

In einer verwandten Entwicklung genehmigte die SEC tatsächlich mehrere Anträge für Spot Bitcoin ETFs am 10. Januar, nur einen Tag nach der falschen Mitteilung, wobei die meisten dieser ETFs am 11. Januar gehandelt wurden.