Alerte sur X (Twitter) : une vaste attaque de réinitialisation des mots de passe éclate

X comptes ont été touchés mardi par des e-mails de réinitialisation de mot de passe que personne n'a demandés. La boîte de réception d'un utilisateur montre huit e-mails arrivant en trois minutes. X dit n'avoir trouvé aucune violation.

Les e-mails sont réels, venant de X lui-même, et non de faux expéditeurs. Les attaquants pointent le propre formulaire de récupération de X vers des noms d'utilisateur publics, encore et encore.

Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles se produisent

Tentative de piratage majeur sur X

X a répondu par l'intermédiaire de Mridul Singhai, un ingénieur produit de l'entreprise. Il a donné un motif, nié une violation et présenté des excuses.

Les attaquants semblent croire que, maintenant que XMoney est largement disponible, ils peuvent accéder de manière non autorisée aux comptes. Nous enquêtons activement sur le problème et, jusqu'à présent, n'avons trouvé aucune preuve de violations. Nous nous excusons pour les multiples e-mails et apprécions votre patience…”, a écrit Singhai.

C'était le seul mot de l'entreprise à ce sujet. Le compte principal de X, X Support et X Money sont tous restés silencieux.

Le motif correspond au calendrier. X Money a commencé les paiements de pair à pair pour les abonnés Premium américains fin juin. Les dépôts sont chez Cross River Bank, avec une assurance fédérale allant jusqu'à 10 millions de dollars.

Ainsi, une connexion X est maintenant aussi une connexion bancaire. Cela change les calculs. Un profil volé peut promouvoir un faux jeton. Un portefeuille volé peut être vidé.

Aucune fuite n'a été confirmée. Des attaques comme celle-ci fonctionnent généralement sur de vieilles listes d'e-mails qui circulent sur les marchés criminels pendant des années.

Comment les utilisateurs de X peuvent arrêter le spam de réinitialisation

Le formulaire de récupération de X accepte un nom d'utilisateur seul. Les noms d'utilisateur sont publics. C'est toute l'introduction.

La solution existe déjà : les pages d'aide de X disent à quiconque recevant des réinitialisations qu'il "n'a pas demandé" d'activer la protection de réinitialisation de mot de passe. Le formulaire exige alors d'abord l'email ou le téléphone enregistré.

Nikita Bier, ancien responsable produit chez X, a publié le basculement mardi. Sa capture d'écran a dépassé 85 000 vues dans l'après-midi.

"Il suffit d'activer cela," a noté Bier.

Deux couches supplémentaires aident :

• Utilisez une application d'authentification plutôt que des messages texte, et ajoutez une clé d'accès, qui lie la connexion à votre appareil.
• Laissez les emails tranquilles, car de fausses invites 2FA ont déjà vidé des portefeuilles crypto auparavant.

X a déjà été confronté à cela, bien que de l'intérieur. En juillet 2020, des attaquants ont réussi à passer le personnel et ont atteint un outil d'administration interne. Ils ont échangé des emails de confirmation et forcé des réinitialisations sur 130 comptes, prenant 118 000 $ en Bitcoin.

Cette fois, les attaquants sont à l'extérieur, utilisant un formulaire public. La cible n'a pas changé. Ni le conseil sur le renforcement des comptes X.

Que X limite le formulaire ou laisse cela aux utilisateurs reste encore à déterminer.

Source : BeInCrypto