著名な暗号資産関係者およびCoinDeskスタッフを含む多数のXユーザーが、火曜日に不正なパスワードリセットメールを受信したと報告されましたが、現時点でX自体のシステム侵害の証拠は確認されていません。
複数の著名な暗号資産関連アカウントを含む何千人ものXユーザーが、許可されていないパスワードリセットメールの急増を伝えています。これにより、アカウント乗っ取りを狙った攻撃や情報漏えいの可能性が懸念されており、個別のユーザーは数時間内に10通を超えるメールを受け取るケースもありました。
Xは暗号資産業界で重要な役割を果たしており、トレーダーやプロジェクト関係者、経営者が発表や市場のコメント、専門的な取引アイデア、新情報の共有に利用しています。
暗号資産投資家のNic Carter氏は火曜日、「多くの人が」不正なリセット試行に直面していると述べ、ユーザーに対してXのパスワードリセット保護機能の有効化を呼びかけました。別の暗号資産ユーザーであるcap.eth氏は、二要素認証を設定しているにもかかわらず、執拗にパスワードリセットが試みられていると語っています。
CoinDeskのスタッフ少なくとも4人も同日に同様のメールを受信しており、その中にはXに関連付けられているメールアドレスがあまり公開されていない人物も含まれていました。
しかし、この事象が即座に攻撃者がユーザーのメールアドレスを取得していることを示すわけではありません。Xのセキュリティ規約では、公開されているユーザーネームを用いてパスワードリセット要求が可能であり、Xはそのアカウントに紐づくメールアドレスへリセットメッセージを送信する仕組みになっています。パスワードリセット保護を設定すると、リセット要求者はアカウントのメールアドレスや電話番号を確認する追加手順が必要となります。
現状、Xのシステム侵害や大規模なアカウント乗っ取りの確証はなく、同社もパスワードリセット試行に関する公式コメントは出していません。組織的な攻撃やセキュリティインシデントの特定もまだなされていません。
なお、過去にはXが大規模なアカウントデータ流出を経験しています。2021年にはユーザーのメールアドレスや電話番号をTwitterアカウントに紐づけるAPIの脆弱性が悪用され、2023年に2億件を超えるデータがダークウェブフォーラムで流通しました。今回の不正パスワードリセットメールの大量発生がこの過去の流出と関連している証拠は現時点で確認されていません。