Cuenta de la SEC es ‘Comprometida’ Por no Habilitar Autenticación de Dos Factores (2FA)

Twitter ha respondido a las afirmaciones de que la plataforma fue la responsable de un tweet fraudulento enviado por la cuenta de la Comisión de Bolsa y Valores de Estados Unidos (SEC) que anunciaba falsamente el martes la aprobación de 13 ETFs de Bitcoin.

Tras una investigación preliminar sobre la cuenta comprometida, el equipo de Seguridad de Twitter [a href="https://x.com/Safety/status/1744924042681897343?s=20">dijo que "la vulneración no se debió a ninguna violación de los sistemas de X, sino más bien a un individuo no identificado que obtuvo el control de un número de teléfono asociado con la cuenta @SECGov a través de un tercero".

Twitter Safety también destacó en su tweet que la cuenta de la SEC no tenía habilitada la autenticación de dos factores en el momento del hackeo, una medida de seguridad que el presidente de la SEC, Gary Gensler, había recomendado anteriormente como protección contra el robo de identidad y el fraude. El equipo de seguridad agregó: "Alentamos a todos los usuarios a habilitar esta capa adicional de seguridad".

Mientras el mundo esperaba saber si finalmente se aprobaría un ETF de Bitcoin el martes por la tarde, la cuenta de Twitter "comprometida" de la SEC dijo que todas las aprobaciones se habían realizado. El precio de Bitcoin cayó en picada desde su máximo de dos años de $47.680 a casi $45.500.

Después de que se eliminó el tweet fraudulento, Gensler dijo que la SEC no había aprobado ningún ETF de Bitcoin pendiente.

"La cuenta de Twitter de la [SEC] fue comprometida y se publicó un tweet no autorizado", tuiteó el presidente de la SEC. "La SEC no ha aprobado la cotización y negociación de productos negociados en bolsa de bitcoin al contado".

El martes por la noche, la SEC confirmó el "acceso y actividad no autorizados" en su cuenta de Twitter oficial, y le dijo a Decrypt que la persona o personas responsables del acceso no autorizado fueron despedidas.

"La SEC trabajará con las fuerzas del orden y nuestros socios en el gobierno para investigar el asunto y determinar los próximos pasos apropiados relacionados tanto con el acceso no autorizado como con cualquier mala conducta relacionada", continuó el comunicado del regulador.

Si bien Twitter no dio más detalles sobre sus hallazgos, algunos en el sitio sugirieron que el atacante podría haber participado en el secuestro de SIM, también conocido como intercambio de SIM. En este ataque malicioso, un hacker engaña a un proveedor de telefonía móvil para transferir el número de teléfono de la víctima a una tarjeta SIM controlada por el hacker, lo que permite acceder a las llamadas telefónicas, mensajes y potencialmente a las cuentas en línea de la víctima.

En enero del año pasado, la cuenta de Twitter de la plataforma de comercio Robinhood fue comprometida mediante un ataque de secuestro de SIM y se utilizó para promocionar una estafa de token y NFT falsa.

Otros sugirieron que un empleado de la SEC podría haber sido víctima de ingeniería social, un ataque psicológico que tiene como objetivo engañar a las personas para que revelen información confidencial.