Tài khoản của Ủy ban Chứng khoán và Giao dịch Mỹ bị tấn công vì chiêu hoán đổi SIM

Các vụ lừa đảo hoán đổi SIM đã trở nên phổ biến trong vài năm qua. Đây là thủ thuật mà tội phạm lừa nhà mạng chuyển số điện thoại của nạn nhân sang một thẻ SIM do chúng kiểm soát.

Ngày nay, với hầu hết dịch vụ trên không gian mạng đều xác thực qua số điện thoại, tin tặc có thể dễ dàng gửi yêu cầu đặt lại mật khẩu hoặc mã xác thực, từ đó truy cập trái phép hoặc chiếm tài khoản của nạn nhân.

Tuy nhiên, theo phát ngôn viên SEC, hoán đổi SIM không phải lỗ hổng duy nhất dẫn đến việc tài khoản X bị tấn công.

Đại diện SEC cho biết, 6 tháng trước vụ tấn công, một nhân viên đã loại bỏ một lớp bảo vệ bổ sung, được gọi là xác thực đa yếu tố (MFA) và không khôi phục nó cho đến sau vụ tấn công vào ngày 9/1.

Trước đó, ngày 9/1, tài khoản X của SEC bất ngờ đăng tin đã phê duyệt cho ít nhất một quỹ ETF Bitcoin, khiến thị trường tiền số sôi sục và đẩy giá Bitcoin lên gần 48.000 USD.

Tuy nhiên, chỉ sau vài chục phút, SEC đã xóa nội dung trên và thông báo tài khoản X của Ủy ban bị xâm phạm. Dòng nội dung trái phép liên quan đến quỹ ETF Bitcoin không phải do SEC hoặc nhân viên của tổ chức đăng tải.

SEC cho biết, sau khi sự cố xảy ra, họ đã tham vấn với nhà mạng và xác định đối tượng trái phép đã giành được quyền kiểm soát số điện thoại di động SEC liên kết với tài khoản X thông qua hình thức tấn công hoán đổi SIM.

"Sau khi kiểm soát được số điện thoại, tin tặc đã đặt lại mật khẩu tài khoản @SECGov", phát ngôn viên của SEC chia sẻ với truyền thông Mỹ ngày 22/1.

Sau cuộc điều tra sơ bộ, nền tảng X cũng đã xác nhận tài khoản của SEC đã bị xâm nhập bởi một cá nhân không rõ danh tính. Người này giành quyền kiểm soát qua số điện thoại liên kết với tài khoản thông qua bên thứ ba. Tại thời điểm tài khoản bị xâm nhập, SEC đã không kích hoạt xác thực MFA.

Hiện tại, MFA đã được kích hoạt cho tất cả các tài khoản truyền thông xã hội của SEC.

SEC cho biết cơ quan này đang làm việc với các nhà chức trách và nhà mạng để tìm hiểu cơ chế tin tặc sử dụng để thâm nhập tài khoản. Trong khi đó, thông tin về nhà mạng cung cấp SIM được SEC dùng để đăng ký trên X không được tiết lộ.

Các nhà chức trách cũng đã yêu cầu SEC giải trình về việc làm thế nào mà Ủy ban này lại có thể gặp phải một cuộc tấn công như vậy khi cơ quan thường buộc các công ty giao dịch công khai phải tuân theo các yêu cầu nghiêm ngặt về an ninh mạng.

Hiện, SEC vẫn đang tiếp tục làm việc với nhiều cơ quan thực thi pháp luật và giám sát liên bang, bao gồm Văn phòng Tổng Thanh tra và Phòng Thực thi của SEC, Ủy ban Giao dịch hàng hóa tương lai Mỹ (CFTC) - cơ quan quản lý các hợp đồng tương lai của Bitcoin, Cục Điều tra Liên bang Mỹ (FBI), Sở Tư pháp Mỹ, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ./.