ABD Menkul Kıymetler ve Borsa Komisyonu dünyaptığı açıklamada, X'teki hesabının yakın zamanda hacklenmesinin, bir bilgisayar korsanının kurumun cep telefonlarından birine bağlı numarayı ele geçirmesi sonucu gerçekleştiğini söyledi.
SEC'in soruşturmasından elde edilen ayrıntılar, bir bilgisayar korsanının üst düzey bir devlet kurumunun sosyal medya hesabına tam olarak nasıl girip gerçek olmayan, piyasayı harekete geçirecek bilgiler yayınlayabildiğine dair yeni bilgiler sağlıyor.
SEC sözcüsü gazetecilerle paylaştığı bir açıklamada şunları söyledi:
"Saldırıdan iki gün sonra, SEC'in telekom operatörüyle istişarede bulunarak, yetkisiz tarafın, açık bir 'SIM takas' saldırısıyla hesapla ilişkili SEC cep telefonu numarasının kontrolünü ele geçirdiğini belirledi. Telefon numarasına erişim SEC sistemleri aracılığıyla değil telekom operatörü aracılığıyla gerçekleşti. SEC personeli, yetkisiz tarafın SEC sistemlerine, verilerine, cihazlarına veya diğer sosyal medya hesaplarına erişim sağladığına dair herhangi bir kanıt bulamadı."
X daha sonra, hesap devralma sırasında SEC'in hesabında çok faktörlü kimlik doğrulamanın (MFA) etkinleştirilmediğini söyled ; bu da hesapta başka bir güvenlik düzeyini ortadan kaldırıyor.
SIM değiştirme, basit bir hackleme taktiği haline geldi.
Bu tür saldırılarda, bilgisayar korsanları bir telekom operatörünün cep telefonu numarasını, kendisinde bulunan bir SIM kartla değiştirmeye ikna ediyor.
Bilgisayar korsanı, telefon numarasının kontrolünü ele geçirdikten sonra bunu, söz konusu telefon numarasıyla ilişkili hesapların şifrelerini değiştirmek için kullanabilir.
Güvenlik güçleri, bilgisayar korsanının kimliği belirsiz telekom operatörünü hesabın SIM'ini değiştirmesi için nasıl kandırdığını ve hangi telefon numarasını hedefleyeceğini nasıl bildiğini araştırıyor.
SEC ayrıca X'ten "hesaba erişim sorunları nedeniyle" Temmuz ayında hesabı için çok faktörlü kimlik doğrulamayı kapatmasını istediğini söyledi.
Sözcü, "Erişim yeniden sağlandıktan sonra MFA, 9 Ocak'ta hesap ele geçirildikten sonra personel onu yeniden etkinleştirene kadar devre dışı kaldı. MFA şu anda onu sunan tüm SEC sosyal medya hesapları için etkindir." dedi.
Temmuz ayındaki talep, X'in politikalarını değiştirip kullanıcıların hesaplarına giriş yapmak için metin yoluyla kod aldığı metin tabanlı MFA'yı ücretli bir özellik haline getirmesinden sonra gerçekleşti.
Birçok bilgisayar korsanlığı grubu, kullanıcıların şifreleri ve telefon numaralarıyla ilgili güvensizliklerden yararlanmaya başladı.
Çoğu kişi SMS tabanlı MFA kullandığından, eğer kullanıyorlarsa bile, SIM değiştirme saldırıları daha da popüler hale geldi.
Bilgisayar korsanları son yıllarda Uber, MGM Resorts, Clorox ve diğer büyük şirketlere sızmak için bu açıklardan yararlandı.
Federal İletişim Komisyonu yakın zamanda telekom sağlayıcıları için, SIM değiştirme saldırılarına karşı önlem almayı amaçlayan ve Haziran ayında yürürlüğe girecek yeni kuralları kabul etti.
Federal müfettişler SEC hesabının hacklenmesinin arkasında kimin olduğunu henüz tespit edemediler.
Kaynak: Axios