著名な暗号資産アカウントやCoinDeskのスタッフを含む何千人ものXユーザーが、火曜日に不正なパスワードリセットメールを受信したと報告された。
複数の著名な暗号資産アカウントを含め多くのXユーザーが、認可されていないパスワードリセットメールの大量送信を報告しており、アカウント乗っ取りや情報漏えいの可能性が懸念されている。個別のユーザーには数時間で10通以上のメールが届いた例もある。
Xは暗号資産業界において重要な役割を担い、トレーダーやプロジェクト関係者、経営者が主に発表やマーケットのコメント、ニッチな取引アイデアや新着情報の共有に利用している。
暗号資産投資家のNic Carterは火曜日、「多くの人が」不正なリセット試行を受けていると述べ、ユーザーに対しXのパスワードリセット保護機能を有効化するよう呼びかけた。別の暗号資産ユーザーであるcap.ethは、二要素認証を設定しているにもかかわらず、「執拗に」パスワードリセットが試みられていると語った。
CoinDeskのスタッフ少なくとも4人も火曜日に同様のメールを個別に受信しており、その中にはXに関連づけられているメールアドレスをあまり公開していない者も含まれている。
ただし、これが攻撃者がユーザーのメールアドレスを入手したことを必ずしも示すわけではない。
Xのセキュリティ規約によると、公開されているユーザーネームを用いてパスワードリセットの要求が可能であり、Xはそのアカウントに紐づいたメールアドレスにリセットメッセージを送信する仕組みとなっている。パスワードリセット保護の設定を行っている場合は、リセット要求者がアカウントのメールアドレスまたは電話番号を確認する追加手順がある。
現時点でXのシステム侵害や大規模なアカウント乗っ取りの確証はない。同社はパスワードリセット試行について公のコメントを出しておらず、組織的な攻撃やセキュリティインシデントの特定も行われていない。
過去にはXが大規模なアカウントデータ流出を経験している。2021年には、ユーザーのメールアドレスや電話番号をTwitterアカウントに紐づけるAPIの脆弱性が悪用され、2億件超のデータが2023年にダークウェブ上で流通した。今回の大量のパスワードリセットメール発生がこの過去のデータ流出と関連している証拠は現時点でない。