De hackers plaatsten vals nieuws over een langverwachte aankondiging die de SEC zou doen over bitcoin, waardoor de prijs van de cryptocurrency omhoogschoot en waarnemers gealarmeerd werden. De valse post op @SECGov zei dat de effectenregulator exchange-traded funds had goedgekeurd om bitcoin te houden. De SEC verwijderde de post ongeveer 30 minuten nadat deze was verschenen.
Het was niet meteen duidelijk hoe een hacker toegang had gekregen tot het officiële account van de SEC, maar beveiligingsanalisten noemden het incident verontrustend.
"Zoiets als dit, waarbij je de SEC-account kunt overnemen en mogelijk de waarde van bitcoin op de markt kunt beïnvloeden - er is een enorme kans op desinformatie," zei Austin Berglas, een voormalige cyberbeveiligingsfunctionaris bij het FBI-kantoor in New York en een senior executive bij het beveiligingsbedrijf BlueVoyant.
Accounts op X, voorheen bekend als Twitter, kunnen worden gekaapt door wachtwoorden te stelen of doelwitten te verleiden om hun inloggegevens op te geven, net als op elk ander socialemediaplatform. Accounts kunnen ook worden overgenomen door de beveiliging van X te doorbreken - zoals in 2020 gebeurde, toen een tiener een inbraak in het interne computernetwerk van Twitter voor elkaar kreeg en de controle over tientallen high-profile accounts overnam, waaronder die van voormalig president Barack Obama en Musk, lang voordat hij Twitter kocht.
Een woordvoerder van de SEC zei dinsdag dat de "ongeautoriseerde toegang" van haar account door een "onbekende partij" was ingetrokken en dat het agentschap samenwerkte met wetshandhavers en andere overheidsinstanties om de zaak te onderzoeken.
X reageerde niet op een reeks vragen voor dit verhaal, maar in een verklaring die eerder dinsdag werd uitgegeven, zei het bedrijf dat het account van de SEC veilig was en dat het bedrijf de "hoofdoorzaak" van de compromittering van het account onderzocht.
Zelfs voordat het bedrijf werd overgenomen door Musk en zijn naam veranderde in X, was Twitter echter al het onderwerp van aanhoudende beveiligingsproblemen.
De arrestatie in 2019 van een Saoedische agent die in het geheim de backend van de site had uitgekamd
voor persoonlijke informatie over dissidenten in het koninkrijk
leidde tot bezorgdheid over de interne veiligheidsmaatregelen van Twitter. De massale kaping van topaccounts het jaar daarop door de tiener uit Florida verhoogde de bezorgdheid, waarbij het departement voor financiële diensten van de staat New York
het bedrijf verweet ten prooi te zijn gevallen
aan een "eenvoudige" hack. In 2022 keerde de voormalige beveiligingschef van Twitter, Peiter Zatko, zich publiekelijk tegen het bedrijf, voordat het werd overgenomen door Musk.
een litanie van falende beveiliging
die volgens hem de nationale veiligheid in gevaar brachten.
Musk heeft de beveiliging van het bedrijf geprezen sinds hij Twitter kocht in oktober 2022, maar voormalige medewerkers zeggen dat de beveiliging sindsdien is verslechterd. Musk gaf opdracht om 50% te bezuinigen op het fysieke beveiligingsbudget van X nadat hij het sociale mediaplatform had gekocht, en wilde programma's schrappen die bedoeld waren om het bedrijf te helpen bij het vinden en repareren van digitale kwetsbaarheden, volgens een rechtszaak die vorige maand werd aangespannen door Alan Rosa, voormalig IT-beveiligingschef bij X. Rosa beweert dat hij werd ontslagen toen hij bezwaar maakte tegen de maatregelen.
Een voormalig leidinggevende van Twitter, die niet met naam genoemd wil worden, zei dat de bescherming van prominente accounts, zoals die van overheidsfunctionarissen, een belangrijk aandachtspunt was vóór de overname door Musk, en waarschuwingen voor vermoedelijke hacks met snelle responsmaatregelen omvatte, maar dat medewerkers die aan die inspanningen werkten deel uitmaakten van een "verkiezingsintegriteit" team dat vorig jaar ontslagen werd.
Begin vorig jaar beperkte X de mogelijkheid van niet-betalende gebruikers om twee-factor authenticatie te implementeren -- een belangrijke beveiligingsmaatregel. Op de website van X staat dat het bedrijf "proactief" de accounts van overheidsfunctionarissen en politieke kandidaten beschermt en beveiligt die "bijzonder kwetsbaar kunnen zijn tijdens bepaalde burgerprocessen".
Het is onduidelijk of de SEC-site een dergelijke beveiliging had. Als dat niet het geval is, kunnen hackers de account hebben overgenomen met behulp van een oud, uitgelekt wachtwoord, aldus Berglas.
"Telkens wanneer je een beveiligingsfunctie vermindert in een platform dat doet wat X doet, is dat ongelooflijk verontrustend," voegde hij eraan toe. (Aanvullende rapportage door Sheila Dang; Bewerking door Leslie Adler)
