Compte X de la SEC piraté : le MFA était désactivé...

Que s’est-il passé le 9 janvier dernier avec le piratage du compte X de la SEC ( Securities and Exchange Commission) ?

Après avoir mené une enquête interne, le gendarme de la Bourse américaine révèle qu’un pirate informatique a réussi à prendre le contrôle d’un numéro de téléphone associé à son compte officiel  afin de faire une annonce prématurée qui a fait monter en flèche le prix des crypto-monnaies.

Ce message indiquait que la SEC avait approuvé le premier fonds négocié en bourse (ETF) Bitcoin au comptant, faisant monter en flèche le prix du Bitcoin à 48 000 $ avant la suppression du message.

L’agence a officiellement confirmé l’approbation des ETF au comptant Bitcoin un jour plus tard, mais mardi, le prix du Bitcoin restait dans le marasme à environ 38 000 $, sa valeur la plus basse jusqu’à présent cette année.

La SEC indique  que le numéro de téléphone associé à son compte X avait été transféré vers un autre téléphone à l’aide d’un piratage d’échange de carte SIM ( SIM swap ) dans lequel un opérateur télécom est amené à transférer un numéro vers un appareil sous le contrôle du pirate informatique.

Le pirate peut alors créer un nouveau mot de passe et authentifier le processus via un message envoyé au numéro de téléphone.

MFA désactivée depuis 6 mois

La SEC a déclaré qu’elle étudiait toujours comment l’astuce avait été réalisée et comment l’attaquant avait découvert que le numéro était associé au compte.

Il a indiqué que l’authentification multifacteur (MFA), qui nécessite une couche de sécurité supplémentaire, telle qu’une application dédiée, avait été désactivée pendant six mois au moment du piratage à la demande de la SEC.

« Bien que MFA ait été précédemment activé sur le compte @SECGov X, il a été désactivé par le support de X, à la demande du personnel, en juillet 2023 en raison de problèmes d’accès au compte », déclare la SEC .

« Une fois l’accès rétabli, l’authentification multifacteur est restée désactivée jusqu’à ce que le personnel la réactive après la compromission du compte le 9 janvier. » précise la Commission.

Selon elle, le MFA est actuellement activé pour tous les comptes de médias sociaux SEC.

Matthew Broersma, Silicon.co.uk