X 帳號因「SIM 卡交換攻擊」被盜，美國 SEC 認了：事發當下「未啟用 2FA」

美國證券交易委員會（SEC）的 X 帳號本月稍早遭到入侵，有說法稱該帳號在事發當下「並未啟用雙重驗證（2FA）」，而 SEC 官方近日也終於證實了這項消息，並補充說目前已重新啟用 2FA 。

美國 SEC 周一發表了聲明，針對其 X 帳號如何被盜然後被又用於散播比特幣現貨 ETF 獲准的假消息一事，提供更多細節資訊。

根據 SEC 的說法，「未授權方」當時是透過 SIM 卡交換攻擊，也就是將電話號碼轉移到新設備，藉此奪取了該帳號的控制權，然後重新設定了帳號密碼。

SEC 強調，轉移電話號碼的過程是經由電信業者進行的，並未涉及到 SEC 自身的系統，工作人員也沒有發現 SEC 的系統、資料、裝置或其他社群媒體帳號被「未經授權方」存取的情況。

SEC 去年 7 月實施了新規定，要求上市公司必須擁有高水準的「網路安全風險管理」機制，但如今卻未能保護其 X 帳號免於攻擊，令美國參議員直言「不可接受」，並要求 SEC 向國會進行解釋。

SEC 發言人表示，由於在登入 X 帳號時遇到困難，SEC 工作人員於 2023 年 7 月向 X 支援部門要求停用「多重要素驗證（MFA）」，直到帳號被盜後才重新啟用這項功能。

SEC 補充說，目前在所有提供 MFA 登入安全機制的社群媒體帳號均已啟用這項功能。