คลื่นอีเมลรีเซ็ตรหัสผ่านถล่ม X; บริษัทรายงานว่าไม่มีการละเมิด

คลื่นอีเมลรีเซ็ตรหัสผ่านที่ไม่พึงประสงค์ถล่มบัญชี X ในวันอังคาร ผู้ถือบัญชีรายหนึ่งได้รับข้อความแปดข้อความภายในสามนาที บริษัทกล่าวว่ายังไม่พบการละเมิดใดๆ

ข้อความเหล่านี้เป็นของจริง ถูกส่งจาก X เอง ไม่ใช่ผู้ส่งปลอม แทนที่จะแฮ็กผู้ใช้โดยตรง ผู้โจมตียิงแบบฟอร์มกู้คืนบัญชีของ X ซ้ำๆ ที่ชื่อผู้ใช้ที่รู้จักสาธารณะ

ระวังสิ่งนี้!! เปิดใช้งาน 2FA และการป้องกันการรีเซ็ตรหัสผ่านในบัญชี X ของคุณ

หลายบัญชีกำลังถูกละเมิด https://t.co/uy5pFsW9hB

— Sweep (@0xSweep) 1 กันยายน 2026

ความพยายามครั้งใหญ่ในการละเมิดบัญชี X

การตอบสนองของบริษัทมาจาก Mridul Singhai วิศวกรผลิตภัณฑ์ของ X เขาเสนอแรงจูงใจที่เป็นไปได้ ปฏิเสธการละเมิด และขอโทษ

“ผู้โจมตีดูเหมือนจะเชื่อว่า ตอนนี้ XMoney พร้อมใช้งานอย่างกว้างขวาง พวกเขาสามารถเข้าถึงบัญชีโดยไม่ได้รับอนุญาต เรากำลังดำเนินการสอบสวนปัญหานี้อย่างจริงจัง และจนถึงขณะนี้ยังไม่พบหลักฐานการละเมิดใดๆ เราขออภัยในอีเมลจำนวนมากและขอขอบคุณสำหรับความอดทน…” Singhai เขียน

คำแถลงนั้นเป็นความเห็นสาธารณะเดียวของบริษัทเกี่ยวกับเรื่องนี้ ทั้งบัญชีหลักของ X, X Support, และ X Money ไม่ได้โพสต์ใดๆ

ช่วงเวลาสอดคล้องกับแรงจูงใจที่สงสัย X Money เปิดตัวการชำระเงินแบบ peer-to-peer สำหรับสมาชิก Premium ในสหรัฐฯ ย้อนกลับไปในปลายเดือนมิถุนายน เงินถูกเก็บไว้ที่ Cross River Bank ซึ่งเงินฝากได้รับการประกันจากรัฐบาลกลางสูงถึง 10 ล้านดอลลาร์

ดังนั้นการเข้าสู่ระบบ X จึงทำหน้าที่เป็นข้อมูลประจำตัวทางธนาคารด้วย นั่นทำให้การคำนวณความเสี่ยงพลิกผัน ด้วยโปรไฟล์ที่ถูกแย่งชิง ผู้โจมตีสามารถโปรโมทโทเค็นปลอมได้ ในขณะเดียวกันกระเป๋าเงินที่ถูกบุกรุกก็สามารถถูกถอนออกได้

ไม่มีการยืนยันการรั่วไหลของข้อมูลใดๆ โดยทั่วไปแล้ว แคมเปญประเภทนี้จะอาศัยรายชื่ออีเมลเก่าที่มีการซื้อขายในตลาดอาชญากรรมมาหลายปี

วิธีที่ผู้ใช้ X สามารถหยุดสแปมรีเซ็ตรหัสผ่าน

แบบฟอร์มกู้คืนที่ X จะรับเพียงชื่อผู้ใช้เท่านั้น ชื่อผู้ใช้เหล่านั้นเป็นสาธารณะ ดังนั้นเพียงเท่านั้นก็เปิดโอกาสแล้ว

หน้าช่วยเหลือของ X มีวิธีแก้ไขอยู่แล้ว: ผู้ใช้ที่ได้รับการรีเซ็ตที่พวกเขา “ไม่ได้ร้องขอ” จะได้รับคำแนะนำให้เปิดใช้งานการป้องกันการรีเซ็ตรหัสผ่าน เมื่อเปิดการตั้งค่านั้น แบบฟอร์มกู้คืนจะต้องใช้อีเมลหรือหมายเลขโทรศัพท์ในไฟล์ก่อน

ในวันอังคาร Nikita Bier ซึ่งเคยดูแลผลิตภัณฑ์ที่ X ได้เปิดการตั้งค่า ในตอนบ่าย ภาพหน้าจอของเขาถูกดูมากกว่า 85,000 ครั้ง

“แค่เปิดสิ่งนี้” Bier กล่าว

อีกสองชั้นป้องกันที่ควรเพิ่ม:

• ควรเลือกใช้แอปยืนยันตัวตนแทน SMS และตั้งค่าพาสคีย์เพื่อให้การลงชื่อเข้าใช้ผูกติดกับอุปกรณ์ของคุณ
• ปล่อยข้อความเหล่านั้นไว้โดยไม่แตะต้อง — การแจ้งเตือน 2FA ปลอมได้ระบายกระเป๋าเงินคริปโตในอดีต

นี่ไม่ใช่ครั้งแรกที่ X เผชิญกับการโจมตีเช่นนี้ แม้ว่าก่อนหน้านี้จะมาจากภายใน ย้อนกลับไปในเดือนกรกฎาคม 2020 ผู้บุกรุกใช้วิศวกรรมสังคมผ่านพนักงานไปยังเครื่องมือผู้ดูแลภายใน พวกเขาเปลี่ยนเส้นทางอีเมลยืนยันและกระตุ้นการรีเซ็ตรหัสผ่านสำหรับ 130 บัญชี โดยได้ Bitcoin มูลค่า 118,000 ดอลลาร์ไป

ในครั้งนี้ ผู้โจมตีปฏิบัติการจากภายนอก โดยส่งการละเมิดผ่านแบบฟอร์มสาธารณะ วัตถุประสงค์ไม่เปลี่ยนแปลง ขั้นตอนที่แนะนำสำหรับการเสริมความแข็งแกร่งให้บัญชี X ก็ไม่เปลี่ยนแปลงเช่นกัน

ยังต้องรอดูว่า X จะกำหนดขีดจำกัดอัตราการใช้งานบนแบบฟอร์มหรือปล่อยให้ผู้ใช้ป้องกันตัวเอง