X contas foram atingidas na terça-feira por e-mails de redefinição de senha que ninguém pediu. A caixa de entrada de um usuário mostra oito e-mails chegando em três minutos. X diz que não encontrou nenhuma violação.
Os e-mails são reais, vindo do próprio X, não de remetentes falsos. Os atacantes estão apontando o próprio formulário de recuperação do X para nomes de usuários públicos, repetidamente.
Siga-nos no X para receber as últimas notícias à medida que acontecem
Grande Tentativa de Hack no X
X respondeu através de Mridul Singhai, um engenheiro de produto da empresa. Ele deu um motivo, negou uma violação e pediu desculpas.
Os atacantes parecem acreditar que, agora que o XMoney está amplamente disponível, podem obter acesso não autorizado às contas. Estamos investigando ativamente o problema e, até agora, não encontramos evidências de quaisquer violações. Pedimos desculpas pelos múltiplos e-mails e agradecemos sua paciência…”, escreveu Singhai.
Essa foi a única palavra da empresa sobre o assunto. A conta principal do X, X Support e X Money permaneceram em silêncio.
O motivo se encaixa no calendário. O X Money começou a permitir pagamentos entre pares para assinantes Premium dos EUA no final de junho. Os depósitos estão no Cross River Bank, com seguro federal de até $10 milhões.
Portanto, um login do X agora também é um login bancário. Isso muda a matemática. Um perfil roubado pode promover um token falso. Uma carteira roubada pode ser esvaziada.
Nenhum vazamento foi confirmado. Ataques como este geralmente operam em listas de e-mails antigas que circulam em mercados criminosos por anos.
Como os Usuários do X Podem Parar o Spam de Redefinição
O formulário de recuperação do X aceita um nome de usuário por conta própria. Nomes de usuário são públicos. Essa é toda a abertura.
A solução já existe: as páginas de ajuda do X dizem a qualquer um que recebe redefinições que “não solicitou” para ativar a proteção de redefinição de senha. O formulário então exige primeiro o e-mail ou telefone registrado.
Nikita Bier, ex-chefe de produto do X, postou a alternância na terça-feira. Sua captura de tela passou de 85.000 visualizações até a tarde.
“Basta ativar isso”, observou Bier.
Mais duas camadas ajudam:
- Use um aplicativo autenticador em vez de mensagens de texto e adicione uma chave de acesso, que vincula o login ao seu dispositivo.
- Deixe os e-mails em paz, porque solicitações falsas de 2FA já drenaram carteiras de criptomoedas antes.
O X já esteve aqui antes, embora de dentro. Em julho de 2020, atacantes conseguiram passar pela equipe e acessar uma ferramenta administrativa interna. Eles trocaram e-mails de confirmação e forçaram redefinições em 130 contas, levando $118.000 em Bitcoin.
Desta vez, os atacantes estão do lado de fora, usando um formulário público. O alvo não mudou. Nem o conselho sobre como fortalecer contas do X.
Se o X limita a taxa do formulário ou deixa isso para os usuários ainda está em aberto.
Fonte: BeInCrypto
