Xでパスワードリセットメールが殺到、同社は侵害なしと報告

Xアカウントに、大量の未承諾パスワードリセットメールが火曜日に届いた。あるアカウント所有者は3分間に8通のメールを受け取った。同社は侵害は見つかっていないと述べている。

これらのメッセージは正規のもので、なりすまし送信者ではなくX自身から送信されている。攻撃者は直接アカウントをハッキングするのではなく、公に知られているユーザー名に対してXのアカウント復旧フォームを繰り返し送信している。

これに注意！！Xアカウントで2FAとパスワードリセット保護を有効にしてください

多くのアカウントが侵害されています https://t.co/uy5pFsW9hB

— Sweep (@0xSweep) 2026年9月1日

Xアカウントへの大規模な侵害試行

同社の対応はXのプロダクトエンジニアであるMridul Singhai氏から出された。同氏は可能性のある動機を提示し、侵害を否定し、謝罪した。

「攻撃者は、XMoneyが広く利用可能になった今、アカウントに不正アクセスできると考えているようです。私たちはこの問題を積極的に調査しており、現時点ではいかなる侵害の証拠も見つかっていません。複数のメールについてお詫び申し上げ、ご理解に感謝します…」とSinghai氏は投稿した。

この声明が、この件に関する同社の唯一の公式コメントとして残った。メインのXアカウント、Xサポート、X Moneyのいずれも何も投稿しなかった。

タイミングは疑われた動機と一致している。X Moneyは6月下旬に、米国のプレミアムサブスクライバー向けにピアツーピア決済を開始した。資金はCross River Bankに保管されており、預金は最大1,000万ドルまで連邦保険の対象となっている。

したがって、Xへのログインは銀行の認証情報としても機能する。これによりリスク計算が一変する。乗っ取られたプロフィールを使って、攻撃者は偽のトークンを宣伝できる。一方、侵害されたウォレットは空にされる可能性がある。

データ漏洩の確認はない。通常、この種のキャンペーンは、犯罪マーケットプレイスで何年も取引されてきた古いメールリストに依存している。

Xユーザーがリセットスパムを止める方法

Xの復旧フォームはユーザー名のみを受け付ける。これらのユーザー名は公開されている。そのため、それだけで扉が開く。

Xのヘルプページはすでに解決策を提供している：「リクエストしていない」リセットを受け取ったユーザーには、パスワードリセット保護を有効にするよう指示されている。この設定をオンにすると、復旧フォームは最初にファイル上のメールアドレスまたは電話番号を要求する。

火曜日、Xでプロダクトを担当していたNikita Bier氏がこの設定を公開した。午後までに、彼のスクリーンショットは85,000回以上閲覧された。

「これをオンにするだけ」とBier氏は述べた。

さらに2つの保護層を追加する価値がある：

• SMSよりも認証アプリを優先し、パスキーを設定して、サインインをデバイスに紐付ける。
• それらのメッセージには触れないこと — 偽の2FAプロンプトは過去に暗号ウォレットを空にしてきた。

Xがこのような攻撃に直面したのはこれが初めてではないが、以前は内部からのものだった。2020年7月、侵入者はソーシャルエンジニアリングで従業員を突破し、内部管理ツールにアクセスした。彼らは確認メールを転送し、130アカウントのパスワードリセットを引き起こし、118,000ドル相当のビットコインを持ち去った。

今回、攻撃者は外部から活動し、公開フォームを通じて悪用を仕掛けている。目的は変わっていない。Xアカウントを強化するための推奨手順も変わっていない。

Xがフォームにレート制限を設けるのか、ユーザーに自己防御を任せるのかは、まだわからない。