Xの偽投稿が行われたのは多要素認証がオフになっていたため

米証券取引委員会（SEC）の広報担当者が今月上旬にXアカウントで偽の投稿が行われた経緯について最新情報を提供した。

多要素認証（MFA）は以前@SECGovのXアカウントで有効になっていたが、アカウントへのアクセスに問題があったため、2023年7月にスタッフの要請でXサポートによって無効にされた。アクセスが再確立された後も、1月9日にアカウントが侵害された後、職員がMFAを再び有効にするまで、MFAは無効のままでした。

SECの広報担当者は、MFAを提供しているすべてのSECのソーシャルメディア・アカウントで、現在MFAが有効になっていると付け加えた。

Xは1月9日の投稿で、SECのXアカウントが、アカウントに関連する電話番号を何者かが操作することで漏洩したことを認めた。同プラットフォームのセキュリティ・チームは、SECがアカウントに2要素認証を設定していなかったことを指摘している。

SECは「SIMスワップ」攻撃で、「無許可の第三者」がアカウントに関連するSECの携帯電話番号のコントロールを入手したと発表した。SIMスワップとは、誰かの電話番号を無許可で別のデバイスに転送するために使用される技術である、と付け加えた。電話番号を入手した後、不正アクセス者はSECのXアカウントのパスワードをリセットしたと伝えられている。

とりわけ、法執行機関は現在、不正アクセス者がどのようにしてキャリアにアカウントのSIMを変更させたのか、また、不正アクセス者がどの電話番号がアカウントに関連付けられているのかをどのようにして知ったのかを調査している。

広報担当者はまた、SECのスタッフは、SECの監察総監室、FBI、商品先物取引委員会、司法省、その他の法執行機関との協力を続けていると述べた。

この記事は、THE BLOCKの「SEC says multi-factor authentication had been turned off in run-up to false X post about bitcoin ETF approval」を参考にして作成されています。