Het X-account van de SEC is eerder deze maand via een simswapping-aanval gekaapt, zo heeft de Amerikaanse beurswaakhond in een verklaring over het incident laten weten. Via het account van de SEC werd een bericht verstuurd dat de beurswaakhond de handel in Bitcoin ETF's had goedgekeurd. Daarop liet de SEC weten dat dit niet het geval was, om een dag later alsnog de handel in ETF's goed te keuren.

"Twee dagen na het incident, in overleg met de telecomprovider van de SEC, heeft de SEC vastgesteld dat de ongeautoriseerde partij via een simswapping-aanval toegang kreeg tot het SEC-telefoonnummer dat aan het account is gekoppeld", aldus de verklaring. Bij sim-swapping weten criminelen het telefoonnummer van een slachtoffer over te zetten op een simkaart waarover zij beschikken en kunnen zo bijvoorbeeld multifactorauthenticatie (MFA) codes ontvangen.

Om de sim-swap uit te voeren doen criminelen zich voor als het slachtoffer en bellen de telecomprovider om het nummer van het slachtoffer over te zetten. Ook komt het voor dat medewerkers van telecombedrijven worden omgekocht en vervolgens de sim-swap op verzoek van criminelen uitvoeren. Hoe de aanvaller de simswap met het SEC-nummer kon uitvoeren wordt nog door de autoriteiten onderzocht.

Nadat de aanvaller de controle over het telefoonnummer had gekregen voerde hij een reset uit van het accountwachtwoord, waardoor hij kon inloggen. Oorspronkelijk had de SEC wel multifactorauthenticatie (MFA) voor het account ingeschakeld, maar had dit vanwege inlogproblemen bij het eigen personeel door X laten uitschakelen. De beurswaakhond voegt toe dat MFA weer voor het X-account is ingeschakeld, alsmede voor alle andere socialmedia-accounts die dit ondersteunen.