火曜日に、著名な暗号資産アカウントやCoinDeskのスタッフを含む数千人のXユーザーが、不正なパスワードリセットメールを受信したと報告された。
複数の著名な暗号資産アカウントを含め、多数のXユーザーが認可されていないパスワードリセットメールの大量送信を報告しており、アカウント乗っ取りを狙った攻撃や情報漏えいの可能性が懸念されている。個別のユーザーは、数時間にわたり10通以上のメールを受け取った例もあった。
Xは暗号資産業界で重要な役割を果たしており、トレーダーやプロジェクト、経営者が主に発表、マーケットのコメント、ニッチな取引アイデアや新着情報の共有チャネルとして利用している。
暗号資産投資家のNic Carterは火曜日、「多くの人が」不正なパスワードリセット試行の対象となっていると述べ、ユーザーに対しXのパスワードリセット保護機能の有効化を呼びかけた。別の暗号資産ユーザーであるcap.ethは、二要素認証を設定していても「執拗に」パスワードリセットが試みられていると話している。
また、CoinDeskのスタッフ4人以上も火曜日に同様のメールを個別に受信しており、その中にはXに関連付けられているメールアドレスをあまり公開していない者も含まれている。
しかし、今回の事象が攻撃者によってユーザーのメールアドレスが入手されたことを必ずしも意味しない。
Xのセキュリティ規約によると、公開されているユーザーネームを使用してパスワードリセット要求を開始でき、Xはそのアカウントに紐づくメールアドレスへリセットメッセージを送信する仕組みになっている。リセット保護設定が有効な場合、リセット要求者はアカウントのメールアドレスまたは電話番号を確認する追加の手順が設けられている。
現時点でXのシステムの侵害や大規模なアカウント乗っ取りの確証はなく、同社はこのパスワードリセット試行について公式のコメントを出していない。また、組織的な攻撃やセキュリティインシデントの特定も行われていない。
過去にはXが大規模なアカウントデータ流出を経験している。2021年には、ユーザーのメールアドレスや電話番号をTwitterアカウントに紐付けるAPIの脆弱性が悪用され、2億件を超えるデータが2023年にダークウェブフォーラムで流通した。しかし、今回の大量のパスワードリセットメールの発生がこの過去の流出と関連している証拠は現在のところ確認されていない。
