SEC xác nhận tài khoản X của họ đã bị hack trong cuộc tấn công hoán đổi SIM

Thứ Hai vừa qua, Ủy ban Chứng khoán và giao dịch của Mỹ đã xác nhận rằng tài khoản X của họ đã bị hack thông qua một cuộc tấn công hoán đổi SIM vào số điện thoại di động được liên kết với tài khoản.

Đầu tháng này, tài khoản X của SEC đã bị tấn công để đưa ra một thông báo giả mạo rằng cơ quan này cuối cùng đã phê duyệt Bitcoin ETF trên các sàn giao dịch chứng khoán.

Trùng hợp là SEC đã phê duyệt Bitcoin ETF trong một thông báo hợp pháp vào ngày hôm sau.

Tuy nhiên, vào thời điểm đó, vẫn chưa rõ tài khoản đã bị xâm phạm như thế nào và SEC tuyên bố rằng họ sẽ cập nhật thông tin về cuộc điều tra khi có thông tin.

Hôm qua, SEC đã xác nhận rằng một tài khoản điện thoại di động được liên kết với tài khoản X đã bị tấn công hoán đổi SIM (SIM-swapping attack).

Thông cáo báo chí cập nhật của SEC cho biết: “Hai ngày sau khi sự cố xảy ra, SEC đã xác định rằng một bên trái phép đã giành được quyền kiểm soát số điện thoại di động được liên kết với tài khoản của SEC thông qua một cuộc tấn công hoán đổi SIM”.

Trong các cuộc tấn công hoán đổi SIM, kẻ tấn công sẽ lừa nhà cung cấp dịch vụ không dây của nạn nhân chuyển số điện thoại của khách hàng sang thiết bị do kẻ tấn công kiểm soát. Điều này cho phép tin tặc truy xuất tất cả tin nhắn văn bản và cuộc gọi điện thoại gửi tới thiết bị, bao gồm các liên kết đặt lại mật khẩu và mật mã một lần (OTP) cho xác thực đa yếu tố (MFA).

Theo SEC, tin tặc không có quyền truy cập vào hệ thống nội bộ, dữ liệu, thiết bị hoặc các tài khoản mạng xã hội khác của cơ quan và việc hoán đổi SIM xảy ra bằng cách lừa nhà cung cấp dịch vụ di động của họ chuyển số.

Sau khi kẻ đe dọa kiểm soát số điện thoại, chúng đã đặt lại mật khẩu cho tài khoản @SECGov để tạo thông báo giả mạo.

SEC cho biết họ vẫn đang hợp tác với cơ quan thực thi pháp luật để điều tra cách những kẻ tấn công thực hiện cuộc tấn công hoán đổi SIM với nhà cung cấp dịch vụ di động của họ.

SEC cũng xác nhận rằng xác thực đa yếu tố không được kích hoạt trên tài khoản vì họ đã yêu cầu bộ phận hỗ trợ X vô hiệu hóa nó khi họ gặp vấn đề khi đăng nhập vào tài khoản.

Nếu MFA được kích hoạt qua SMS, tin tặc vẫn có thể xâm nhập vào tài khoản vì chúng vẫn nhận được OTP.

Tuy nhiên, nếu cài đặt bảo mật được định cấu hình để sử dụng một ứng dụng xác thực (authentication app), nó sẽ ngăn các tác nhân đe dọa đăng nhập vào tài khoản, ngay cả sau khi kẻ tấn công đã thay đổi mật khẩu.

Vì vậy, đối với các tài khoản quan trọng, người dùng được khuyến nghị nên sử dụng MFA với khóa bảo mật phần cứng (hardware security key) hoặc ứng dụng xác thực thay vì qua SMS.

Nguồn: bleepingcomputer.coms.