Die Hacker posteten falsche Nachrichten über eine mit Spannung erwartete Ankündigung der SEC zum Thema Bitcoin, was den Kurs der Kryptowährung in die Höhe schnellen ließ und Beobachter alarmierte. In dem falschen Post auf @SECGov hieß es, die Wertpapieraufsichtsbehörde habe börsengehandelte Fonds zum Halten von Bitcoin zugelassen. Die SEC löschte den Beitrag etwa 30 Minuten nach seinem Erscheinen.
Es war nicht sofort klar, wie sich ein Hacker Zugang zum offiziellen Konto der SEC verschafft hatte, aber Sicherheitsanalysten bezeichneten den Vorfall als beunruhigend.
"So etwas, bei dem man das SEC-Konto übernehmen und möglicherweise den Wert von Bitcoin auf dem Markt beeinflussen kann, bietet massive Möglichkeiten zur Desinformation", sagte Austin Berglas, ein ehemaliger Beamter für Cybersicherheit im New Yorker Büro des FBI und leitender Angestellter der Sicherheitsfirma BlueVoyant.
Konten bei X, früher bekannt als Twitter, können durch den Diebstahl von Passwörtern oder durch das Verleiten von Zielpersonen, ihre Anmeldedaten preiszugeben, gekapert werden, genau wie auf jeder anderen Social Media-Plattform. Konten können auch übernommen werden, indem die Sicherheit von X verletzt wird - so geschehen im Jahr 2020, als ein Teenager in das interne Computernetzwerk von Twitter einbrach und die Kontrolle über Dutzende von hochkarätigen Konten übernahm, darunter die des ehemaligen Präsidenten Barack Obama und von Musk, lange bevor er Twitter kaufte.
Ein Sprecher der SEC sagte am Dienstag, dass der "unbefugte Zugriff" auf ihr Konto durch eine "unbekannte Partei" widerrufen worden sei und die Behörde mit den Strafverfolgungsbehörden und anderen Regierungsstellen zusammenarbeite, um die Angelegenheit zu untersuchen.
X hat auf eine Reihe von Fragen für diese Geschichte nicht geantwortet, aber in einer Erklärung, die am Dienstag veröffentlicht wurde, sagte das Unternehmen, dass das Konto der SEC sicher sei und das Unternehmen die "Ursache" für die Kompromittierung des Kontos untersuche.
Bereits vor der Übernahme durch Musk und der Umbenennung in X war Twitter jedoch Gegenstand anhaltender Sicherheitsprobleme.
Die Verhaftung eines saudischen Agenten im Jahr 2019, der heimlich das Backend der Website durchkämmt hatte
nach persönlichen Informationen über die Dissidenten des Königreichs durchsucht hatte
weckte Bedenken über die internen Sicherheitsvorkehrungen von Twitter. Das massenhafte Hijacking von Top-Accounts durch den Teenager aus Florida im darauffolgenden Jahr verstärkte die Bedenken, so dass das Finanzministerium des Staates New York
schimpfte über das Unternehmen, weil es zum Opfer gefallen war
einem "einfachen" Hack zum Opfer fiel. Im Jahr 2022 wandte sich der ehemalige Sicherheitschef von Twitter, Peiter Zatko, öffentlich gegen das Unternehmen, bevor es von Musk übernommen wurde, und beschuldigte es der
eine Litanei von Sicherheitsmängeln
die seiner Meinung nach die nationale Sicherheit gefährdeten.
Musk hat die Sicherheit des Unternehmens seit dem Kauf von Twitter im Oktober 2022 angepriesen, aber ehemalige Mitarbeiter sagen, dass sie sich seither verschlechtert hat. Musk ordnete eine 50%ige Kürzung des Budgets für die physische Sicherheit von X an, nachdem er die Social-Media-Plattform gekauft hatte, und wollte Programme abschaffen, die dem Unternehmen helfen sollten, digitale Schwachstellen zu finden und zu beheben. Dies geht aus einer Klage hervor, die Alan Rosa, der ehemalige IT-Sicherheitschef von X, letzten Monat eingereicht hat.
Ein ehemaliger leitender Angestellter von Twitter, der nicht namentlich genannt werden wollte, sagte, dass der Schutz prominenter Konten, wie z.B. die von Regierungsbeamten, vor der Übernahme durch Musk ein Hauptaugenmerk des Unternehmens war und Warnmeldungen für vermutete Hacks mit schnellen Reaktionsmaßnahmen umfasste.
Anfang letzten Jahres schränkte X die Möglichkeit für nicht zahlende Nutzer ein, eine Zwei-Faktor-Authentifizierung zu implementieren - eine wichtige Sicherheitsmaßnahme. Auf der Website von X heißt es, dass das Unternehmen "proaktiv" die Konten von Regierungsbeamten und politischen Kandidaten schützt und sichert, die "während bestimmter zivilgesellschaftlicher Prozesse besonders anfällig sein können".
Es ist unklar, ob die Website der SEC über solche Sicherheitsvorkehrungen verfügte. Wenn nicht, könnten die Hacker das Konto mit einem alten, durchgesickerten Passwort übernommen haben, so Berglas.
"Jedes Mal, wenn Sie eine Sicherheitsfunktion in einer Plattform, die das tut, was X tut, reduzieren, ist das äußerst besorgniserregend", fügte er hinzu. (Weitere Berichte von Sheila Dang; Bearbeitung durch Leslie Adler)
