هذا الأسبوع، عانت هيئة الأوراق المالية والبورصة الأمريكية (SEC) من اختراق محرج – ومؤثر على السوق – حيث تمكن أحد المتسللين من الوصول إلى حساب الوسائط الاجتماعية X الخاص بها ونشر معلومات مزيفة حول إعلان هيئة الأوراق المالية والبورصات المرتقب للغاية والمتعلق ببيتكوين. واستعادت الوكالة السيطرة على حسابها وحذفت المنشور في أقل من ساعة، لكن الوضع مثير للقلق، خاصة وأن شركة الأمن البارزة والمحترمة Mandiant والمملوكة لشركة جوجل، تعرضت لحساب X الخاص بها للاختراق في حادثة مماثلة. الأسبوع الماضي.
لا تزال التفاصيل تتكشف حول ما حدث بالضبط في كل حالة، ولكن هناك خيوط مشتركة جعلت عمليات الاستيلاء على الحساب ممكنة، وهناك طرق لحماية نفسك.
والأهم من ذلك، أن كلا الحسابين تم تعطيل الحماية الرقمية المعروفة باسم “المصادقة الثنائية” في وقت عمليات الاستحواذ. يُعرف الدفاع أيضًا باسم 2FA، ويتطلب رمزًا رقميًا دوارًا أو دونجل فعليًا بالإضافة إلى بيانات اعتماد تسجيل دخول الشخص، لذلك لا يعتمد كل شيء على اسم مستخدم وكلمة مرور فقط. لم تذكر هيئة الأوراق المالية والبورصة حتى الآن ما إذا كان قد تم إيقاف تشغيل العامل الثنائي عن طريق الخطأ نتيجة لتغيير سياسة X في فبراير 2023 والذي ينص على أن الحسابات التي تدفع مقابل الاشتراك “الأزرق” فقط هي التي ستتمكن من الوصول إلى الرموز الثنائية المرسلة عبر رسالة نصية. مانديانت يعني يوم الاربعاء أن هذا التغيير كان السبب وراء عدم تشغيل الحماية لحساب X الخاص به قائلاً: “في العادة، كان من الممكن أن تخفف المصادقة الثنائية هذا الأمر، ولكن نظرًا لبعض انتقالات الفريق والتغيير في سياسة المصادقة الثنائية لـ X، لم نكن محميين بشكل كافٍ.”
وقال مانديانت إن المتسللين تمكنوا من تخمين كلمة المرور التي تحمي حساب X الخاص به في هجوم “القوة الغاشمة”. X نفسها قال يوم الثلاثاء أن اختراق حساب هيئة الأوراق المالية والبورصات كان نتيجة “حصول شخص مجهول على التحكم في رقم هاتف مرتبط بحساب @SECGov من خلال طرف ثالث.”
يعرض الحادثان قائمة بأهم الخطوات التي يمكنك اتخاذها لتأمين حساب X الخاص بك. أولاً، تأكد من أن حسابك محمي بكلمة مرور قوية وفريدة من نوعها. ثانيًا، قم بتشغيل العامل الثنائي لحسابك، أو إذا كنت تعتقد أنك قمت بتشغيله بالفعل، فتحقق للتأكد. إن تحرك X لجعل الناس يدفعون مقابل الشكل الأساسي للعامل الثنائي يمثل مشكلة. كما أنها خلقت ارتباكًا لأن الشركة دفعت المستخدمين المجانيين إلى الابتعاد عن الرسائل النصية القصيرة ذات العامل المزدوج، ولكن بعد ذلك يبدو أنها ببساطة أوقفت الحماية تمامًا لأولئك الذين لم يفعلوا ذلك. من المحتمل أن يترك هذا مجموعة من المستخدمين في موقف يعتقدون فيه أن لديهم مصادقة ثنائية، ولكن في الواقع لا يفعلون ذلك.
للتأكد من تشغيل العامل الثنائي، أو لتمكينه لأول مرة، قم بتسجيل الدخول إلى حساب X الخاص بك، انتقل إلى الإعدادات والخصوصية، ثم الأمن والوصول إلى الحساب, حماية، وثم توثيق ذو عاملين. (بامكانك ايضا انقر هنا إذا كنت قد قمت بتسجيل الدخول بالفعل إلى X). في تلك الشاشة، يمكنك الاختيار بين استخدام المصادقة الثنائية مع تطبيق لإنشاء التعليمات البرمجية أو مفتاح أمان فعلي. يمكنك أيضًا إنشاء رموز احتياطية لحسابك لتسجيل الدخول إلى X حتى لو فقدت الوصول إلى العامل الثاني.
أخيرًا، تأكد من عدم وجود رقم هاتف مرتبط بحساب X الخاص بك والذي يمكن استخدامه لاسترداد الحساب. يستخدم تويتر أرقام الهواتف “للتحقق” من الحسابات البارزة ويقدم أيضًا ميزة تسمى “حماية كلمة المرور الإضافية” والتي من خلالها “يجب عليك تقديم رقم الهاتف أو عنوان البريد الإلكتروني المرتبط بحسابك من أجل إعادة تعيين كلمة المرور الخاصة بك”. ومع ذلك، يبدو أنه من خلال وجود رقم هاتف مرتبط بحساب X الخاص بها، كانت هيئة الأوراق المالية والبورصات تعرض نفسها لخطر أكبر، لأن المهاجمين يمكنهم السيطرة على الحساب من خلال الاستيلاء أولاً على رقم الهاتف المرتبط باستخدام هجوم يُعرف باسم مبادلة بطاقة SIM. .
تقول راشيل توباك، وهي باحثة قديمة في مجال تسوية الحسابات والرئيسة التنفيذية لشركة SocialProof Security: “قم بإزالة رقم هاتفك من Twitter تمامًا للتأكد من تجنب تهديد مبادلة بطاقة SIM من خلال تدفق إعادة تعيين كلمة المرور المستند إلى الرسائل النصية المحفوفة بالمخاطر في Twitter”. وتضيف أنه يجب على مستخدمي X “تشغيل المصادقة الثنائية – أوصي بالاعتماد على التطبيق على الأقل – والتأكد من أن لديك كلمة مرور قوية في الحساب.”
على الرغم من أن X قد جعل الأمر أكثر تعقيدًا لتمكين أمان الحساب القوي، إلا أن الأمر يستحق التعلم من أخطاء لجنة الأوراق المالية والبورصات وMandiant.
