O norte-americano Eric Council Jr., de 26 anos, foi condenado a 14 meses de prisão pela justiça dos Estados Unidos, por ter feito uma troca de SIM (SIM swap) que permitiu a ele invadir a conta X da SEC (Securities and Exchange Commission) no X. Após a invasão ele enviou uma mensagem através da conta para manipular o preço do Bitcoin.
Leia também
Mercado Bitcoin negociou R$ 35M em Bitcoins em 2015
400 mil usuários do mídia player Kodi tem os dados hackeados
Nesse incidente do início do ano passado, um aviso da Securities and Exchange Commission apareceu no X informando que havia aprovado a negociação de ETFs de bitcoin. A notícia fez com que o preço do Bitcoin subisse temporariamente em mil dólares. Depois que a SEC anunciou que a notícia era falsa, o preço das ações caiu dois mil dólares.
O X confirmou que a conta da SEC havia sido comprometida por um indivíduo desconhecido que obteve acesso a um número de telefone associado à conta por meio de terceiros. O serviço de microblog afirmou ainda que o regulador de câmbio não tinha a autenticação de dois fatores (2FA) habilitada no momento em que a conta foi sequestrada.
De acordo com a SEC, o número de telefone foi adquirido por meio de troca de SIM. Com a troca de SIM, os criminosos conseguem transferir o número de telefone da vítima para um cartão SIM que eles já possuem e, assim, receber códigos de autenticação multifator (MFA), por exemplo. Depois que o invasor obteve o controle do número de telefone da SEC, ele redefiniu a senha da conta, permitindo que ele fizesse login.
O suspeito recebeu informações pessoais e um modelo de carteira de identidade com o nome e a foto do proprietário do número de telefone da SEC dos cúmplices. Ele então usou uma “impressora de cartão de identificação” para criar uma identidade falsa e usá-la para solicitar um cartão SIM em nome da vítima em uma loja de telefones. Ele então encaminhou o código de redefinição recebido para a conta @SECGov no X para cúmplices, que postaram a mensagem maliciosa. Para realizar a troca do SIM, o suspeito recebeu uma quantia em bitcoin.
