Konta X zostały w wtorek zaatakowane przez e-maile z resetem hasła, o które nikt nie prosił. Skrzynka odbiorcza jednego użytkownika pokazuje osiem e-maili w ciągu trzech minut. X twierdzi, że nie znalazło żadnego naruszenia.
E-maile są prawdziwe, pochodzą z samego X, a nie od fałszywych nadawców. Napastnicy kierują formularz odzyskiwania X na publiczne nazwy użytkowników, w kółko.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Główna próba włamania na X
X odpowiedziało przez Mridula Singhai, inżyniera produktu w firmie. Podano motyw, zaprzeczono naruszeniu i przeproszono.
Napastnicy wydają się wierzyć, że teraz, gdy XMoney jest szeroko dostępne, mogą uzyskać nieautoryzowany dostęp do kont. Aktywnie badamy tę sprawę i jak dotąd nie znaleźliśmy żadnych dowodów na jakiekolwiek naruszenia. Przepraszamy za wiele e-maili i doceniamy twoją cierpliwość…,” napisał Singhai.
To były jedyne słowa firmy na ten temat. Główne konto X, X Support i X Money pozostały cicho.
Motyw pasuje do kalendarza. X Money rozpoczęło płatności peer-to-peer dla subskrybentów Premium w USA pod koniec czerwca. Depozyty znajdują się w Cross River Bank, z federalnym ubezpieczeniem do 10 milionów dolarów.
Więc logowanie do X jest teraz także logowaniem do banku. To zmienia sytuację. Sk stolen profile can promote a fake token. Sk stolen wallet can be emptied.
Nie potwierdzono żadnego wycieku. Ataki takie jak ten zazwyczaj działają na starych listach e-mailowych, które krążą na rynkach przestępczych przez lata.
Jak użytkownicy X mogą zatrzymać spam z resetem
Formularz odzyskiwania X akceptuje nazwę użytkownika samodzielnie. Nazwy użytkowników są publiczne. To całe wprowadzenie.
Rozwiązanie już istnieje: strony pomocy X informują każdego, kto otrzymuje reset, że „nie prosił” o to, aby włączył ochronę resetowania hasła. Formularz następnie wymaga najpierw adresu e-mail lub numeru telefonu zarejestrowanego w systemie.
Nikita Bier, były szef produktu w X, opublikował przełącznik we wtorek. Jego zrzut ekranu osiągnął 85 000 wyświetleń do popołudnia.
„Po prostu włącz to,” zauważył Bier.
Dwie dodatkowe warstwy pomagają:
- Użyj aplikacji uwierzytelniającej zamiast wiadomości tekstowych i dodaj klucz dostępu, który łączy logowanie z twoim urządzeniem.
- Nie ruszaj e-maili, ponieważ fałszywe powiadomienia 2FA wcześniej opróżniły portfele kryptowalutowe.
X był już w takiej sytuacji, chociaż od wewnątrz. W lipcu 2020 roku napastnicy przekonali pracowników i dotarli do wewnętrznego narzędzia administracyjnego. Zamienili e-maile potwierdzające i wymusili reset na 130 kontach, zabierając 118 000 dolarów w Bitcoinie.
Tym razem napastnicy są na zewnątrz, używając publicznego formularza. Cel się nie zmienił. Nie zmieniła się również rada dotycząca zabezpieczania kont X.
Czy X ogranicza liczbę formularzy, czy pozostawia to użytkownikom, wciąż pozostaje otwarte.
Źródło: BeInCrypto
