ต่างประเทศ

ก.ล.ต.สหรัฐ แจง กรณีถูกแฮก X เป็นเพราะ 'โดนสวมซิม' 6 เดือนหลังปิดยืนยันตัวตน

วันที่ส่ง: 23/01/2024 - ผู้เขียน: กรุงเทพธุรกิจ

คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐ (SEC) หรือ ก.ล.ต.สหรัฐ แถลงเมื่อวันจันทร์ (22 ม.ค.) ตามเวลาสหรัฐว่า บัญชีเอ็กซ์ (ทวิตเตอร์) ของ SEC ที่ถูกแฮกเมื่อวันที่ 9 ม.ค.นั้น ถูกแฮกด้วยการ “สวมซิม” (SIM swapping) ซึ่งเป็นเทคนิคที่อาชญากรไซเบอร์ใช้ในการควบคุมหมายเลขโทรศัพท์

SEC ยังระบุว่า ก่อนเกิดเหตุ 6 เดือน ทางเจ้าหน้าที่ของ SEC ได้ปิดระบบการยืนยันตัวตนแบบหลายปัจจัย (MFA) และไม่ได้เปิดใช้ใหม่อีกจนกระทั่งหลังจากโดนแฮกเมื่อวันที่ 9 ม.ค.

สำนักข่าวรอยเตอร์รายงานว่า เมื่อวันที่ 9 ม.ค. มีผู้ไม่ประสงค์ดีเข้าถึงบัญชีเอ็กซ์ของ SEC แล้วโพสต์ข้อความอันเป็นเท็จว่า SEC มีมติอนุมัติการจัดตั้งกองทุน Spot Bitcoin ETF แล้ว ส่งผลให้ราคาบิตคอยน์พุ่งทะยานขึ้นชั่วขณะ

ในวันต่อมา SEC มีมติอนุมัติการจัดตั้งกองทุน Spot Bitcoin ETF ด้วยคะแนนเสียงแบบไม่เป็นเอกฉันท์

การสวมซิมเป็นเทคนิคที่ผู้แฮกใช้ควบคุมหมายเลขโทรศัพท์ของเหยื่อได้ โดยการปลอมเป็นเหยื่อแล้วขอให้ผู้ให้บริการโทรศัพท์ของเหยื่อโอนหมายเลขนั้น ๆ ไปยังซิมการ์ดใหม่

“เมื่อควบคุมหมายเลขโทรศัพท์ได้แล้ว บุคคลที่ไม่ได้รับอนุญาตนั้น ๆ จึงรีเซ็ตรหัสผ่านของบัญชี @SECGov” โฆษกของ SEC ระบุในแถลงการณ์

SEC ระบุว่า หน่วยงานบังคับใช้กฎหมายกำลังพยายามหาข้อมูลว่าแฮกเกอร์ใช้วิธีใดในการโน้มน้าวผู้ให้บริการโทรศัพท์ของ SEC ให้ทำการโอนหมายเลขไปยังซิมใหม่

อย่างไรก็ตาม SEC ไม่ได้ระบุชื่อผู้ให้บริการโทรศัพท์ในแถลงการณ์

ขณะที่สมาชิกสภาสหรัฐเรียกร้องคำอธิบายจาก SEC ว่า ปล่อยให้ตัวเองโดนแฮกเช่นนี้ได้อย่างไร ทั้ง ๆ ที่ SEC เป็นผู้ออกข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่เข้มงวดกับบริษัทจดทะเบียนในตลาดหลักทรัพย์

แถลงการณ์ในวันจันทร์ยังระบุว่า เนื่องจากปัญหาในการเข้าถึงบัญชี เจ้าหน้าที่ของ SEC จึงได้ขอให้ฝ่ายสนับสนุนของเอ็กซ์ให้ปิดใช้งาน MFA ในเดือน มิ.ย. 2566 ซึ่ง MFA เป็นฟังก์ชันเพิ่มการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

“ปัจจุบัน บัญชีโซเชียลมีเดียทั้งหมดของ SEC ที่รองรับ MFA ได้เปิดใช้งานฟังก์ชันดังกล่าวแล้ว” แถลงการณ์ระบุ

ด้านสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) เปิดเผยกับรอยเตอร์ว่า หน่วยงานต่าง ๆ ของสหรัฐจะเป็นผู้กำหนดนโยบายการเข้าถึงบัญชีโซเชียลมีเดียของตนเอง แต่แนวทางจาก NIST โดยทั่วไปสนับสนุนการใช้ MFA

อ้างอิง: Reuters

คำแถลงปฏิเสธความรับผิดชอบ: ลิขสิทธิ์ของบทความนี้เป็นของผู้เขียนต้นฉบับ การเผยแพร่ซ้ำบทความนี้มีวัตถุประสงค์เพื่อเผยแพร่ข้อมูลเท่านั้นและไม่ถือเป็นคำแนะนำในการลงทุน หากมีการละเมิดกรุณาติดต่อเราทันที เราจะทำการแก้ไขหรือลบตามความเหมาะสม ขอบคุณ