Alert na X (Twitter): rozpoczął się poważny atak na resetowanie haseł

Konta X zostały w wtorek zaatakowane przez e-maile z resetem hasła, o które nikt nie prosił. Skrzynka odbiorcza jednego użytkownika pokazuje osiem e-maili w ciągu trzech minut. X twierdzi, że nie znalazło żadnego naruszenia.

E-maile są prawdziwe, pochodzą z samego X, a nie od fałszywych nadawców. Napastnicy kierują formularz odzyskiwania X na publiczne nazwy użytkowników, w kółko.

Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco

Główna próba włamania na X

X odpowiedziało przez Mridula Singhai, inżyniera produktu w firmie. Podano motyw, zaprzeczono naruszeniu i przeproszono.

Napastnicy wydają się wierzyć, że teraz, gdy XMoney jest szeroko dostępne, mogą uzyskać nieautoryzowany dostęp do kont. Aktywnie badamy tę sprawę i jak dotąd nie znaleźliśmy żadnych dowodów na jakiekolwiek naruszenia. Przepraszamy za wiele e-maili i doceniamy twoją cierpliwość…,” napisał Singhai.

To były jedyne słowa firmy na ten temat. Główne konto X, X Support i X Money pozostały cicho.

Motyw pasuje do kalendarza. X Money rozpoczęło płatności peer-to-peer dla subskrybentów Premium w USA pod koniec czerwca. Depozyty znajdują się w Cross River Bank, z federalnym ubezpieczeniem do 10 milionów dolarów.

Więc logowanie do X jest teraz także logowaniem do banku. To zmienia sytuację. Sk stolen profile can promote a fake token. Sk stolen wallet can be emptied.

Nie potwierdzono żadnego wycieku. Ataki takie jak ten zazwyczaj działają na starych listach e-mailowych, które krążą na rynkach przestępczych przez lata.

Jak użytkownicy X mogą zatrzymać spam z resetem

Formularz odzyskiwania X akceptuje nazwę użytkownika samodzielnie. Nazwy użytkowników są publiczne. To całe wprowadzenie.

Rozwiązanie już istnieje: strony pomocy X informują każdego, kto otrzymuje reset, że „nie prosił” o to, aby włączył ochronę resetowania hasła. Formularz następnie wymaga najpierw adresu e-mail lub numeru telefonu zarejestrowanego w systemie.

Nikita Bier, były szef produktu w X, opublikował przełącznik we wtorek. Jego zrzut ekranu osiągnął 85 000 wyświetleń do popołudnia.

„Po prostu włącz to,” zauważył Bier.

Dwie dodatkowe warstwy pomagają:

• Użyj aplikacji uwierzytelniającej zamiast wiadomości tekstowych i dodaj klucz dostępu, który łączy logowanie z twoim urządzeniem.
• Nie ruszaj e-maili, ponieważ fałszywe powiadomienia 2FA wcześniej opróżniły portfele kryptowalutowe.

X był już w takiej sytuacji, chociaż od wewnątrz. W lipcu 2020 roku napastnicy przekonali pracowników i dotarli do wewnętrznego narzędzia administracyjnego. Zamienili e-maile potwierdzające i wymusili reset na 130 kontach, zabierając 118 000 dolarów w Bitcoinie.

Tym razem napastnicy są na zewnątrz, używając publicznego formularza. Cel się nie zmienił. Nie zmieniła się również rada dotycząca zabezpieczania kont X.

Czy X ogranicza liczbę formularzy, czy pozostawia to użytkownikom, wciąż pozostaje otwarte.

Źródło: BeInCrypto