SECレポートが明らかにする、ハッキングされたXアカウント背後のSIMスワップ攻撃

米国証券取引委員会（SEC）は、「SIMスワップ」攻撃の被害者であり、それがスポットビットコイン上場投資信託（ETF）の承認に関する誤情報の拡散につながったことを認めています。 

公式声明において、SECは、Xアカウントに関連する携帯電話番号の制御を不正な当事者が奪い、その後@SECGov Twitterアカウントのパスワードをリセットしたことを明らかにしました。この事件は、複数のスポットビットコインETF出願が実際に承認される2日前に発生しました。

SECのSIMスワップ攻撃が露呈した脆弱性

SECは、この侵害が「SIMスワップ」攻撃の結果であることを確認しました。これは、攻撃者がターゲットの電話番号を別のデバイスに再割り当てさせることで、ターゲットの電話番号の制御を奪う手法です。

この不正な当事者は、SIMスワップを通じてSECのTwitterアカウントを侵害し、ビットコインETFの承認に関する誤情報を投稿することに成功しました。

事件の後、SECは電信事業者と協力し、攻撃者がどのようにしてSECのXアカウントに関連するSIMカードの変更を事業者に説得させたかを決定するための調査を開始しました。 

さらに、攻撃者がSECのアカウントに関連する特定の電話番号をどのように特定したかを理解しようとしています。

攻撃前にマルチファクター認証が無効化されていた

SECが明らかにした懸念される事実の一つは、ハッキングが発生する6ヶ月前に、組織内のスタッフがXアカウントのマルチファクター認証（MFA）を無効にしていたことです。

この決定は、アカウントへのアクセスに困難が生じたためになされ、MFAは1月9日の攻撃後にのみ再導入されました。

必須のセキュリティレイヤーであるMFAの削除は、不正な当事者がSIMスワップ手法を通じてアカウントの制御を奪うことを可能にした脆弱性に寄与した可能性があります。

法執行機関による事件の調査

侵害への対応として、法執行機関はSIMスワップ攻撃を取り巻く状況について積極的に調査を行っています。調査の主な焦点は、攻撃者がどのようにして电信事業者に、SECのXアカウントに関連するSIMカードの変更を説得させたかを決定することです。

さらに、当局は攻撃者がSECのアカウントに関連する特定の電話番号をどのように特定したかを調査しています。

SECは、現在までに、不正な当事者が他のSECシステム、機密データ、または追加のソーシャルメディアアカウントへのアクセスを得たことを示す証拠はないと述べています。この開示は、侵害の範囲が限定的であり、主にSECのTwitterアカウントに影響を与えたことを示すある程度の安心感を提供します。

スポットビットコインETFの迅速な承認

皮肉なことに、セキュリティ事件のちょうど1日後、SECは複数のスポットビットコインETF出願を正式に承認しました。これらのETFは1月11日に取引を開始し、暗号通貨市場に正当性と興奮をもたらしました。

これらの金融製品の立ち上げを待ち望んでいた投資家や愛好家にとって、迅速な承認は安堵をもたらしました。