Allarme su X (Twitter): scatta un vasto attacco di reimpostazione delle password

X account sono stati colpiti martedì da email di reset della password che nessuno ha richiesto. La casella di posta di un utente mostra otto email arrivate in tre minuti. X afferma di non aver trovato alcuna violazione.

Le email sono reali, provengono da X stessa, non da mittenti falsi. Gli attaccanti stanno puntando al modulo di recupero di X su nomi utente pubblici, ripetutamente.

Seguici su X per ricevere le ultime notizie in tempo reale

Tentativo di Hack Maggiore su X

X ha risposto tramite Mridul Singhai, un ingegnere di prodotto dell'azienda. Ha fornito un motivo, negato una violazione e si è scusato.

Gli attaccanti sembrano credere che, ora che XMoney è ampiamente disponibile, possano ottenere accesso non autorizzato agli account. Stiamo attivamente indagando sulla questione e, finora, non abbiamo trovato prove di violazioni. Ci scusiamo per le molteplici email e apprezziamo la vostra pazienza…”, ha scritto Singhai.

Questa è stata l'unica parola dell'azienda al riguardo. L'account principale di X, X Support e X Money sono rimasti in silenzio.

Il motivo si adatta al calendario. X Money ha iniziato i pagamenti peer-to-peer per gli abbonati Premium statunitensi a fine giugno. I depositi sono presso Cross River Bank, con un'assicurazione federale fino a 10 milioni di dollari.

Quindi un accesso a X è ora anche un accesso bancario. Questo cambia i calcoli. Un profilo rubato può promuovere un token falso. Un portafoglio rubato può essere svuotato.

Nessuna fuga è stata confermata. Attacchi come questo di solito si basano su vecchie liste email che circolano nei mercati criminali per anni.

Come gli utenti di X possono fermare lo spam di reset

Il modulo di recupero di X accetta un nome utente da solo. I nomi utente sono pubblici. Questo è tutto l'apertura.

La soluzione esiste già: le pagine di aiuto di X dicono a chi riceve ripristini che "non ha richiesto" di attivare la protezione del ripristino della password. Il modulo richiede prima l'email o il telefono registrato.

Nikita Bier, ex responsabile del prodotto di X, ha pubblicato l'interruttore martedì. Il suo screenshot ha superato le 85.000 visualizzazioni entro il pomeriggio.

"Basta attivarlo," ha osservato Bier.

Altri due livelli aiutano:

• Usa un'app di autenticazione piuttosto che messaggi di testo e aggiungi una chiave di accesso, che collega il login al tuo dispositivo.
• Lascia stare le email, perché i falsi avvisi di 2FA hanno già svuotato portafogli crypto in passato.

X è già stata qui, sebbene dall'interno. Nel luglio 2020, gli attaccanti sono riusciti a superare il personale e hanno raggiunto uno strumento di amministrazione interno. Hanno scambiato email di conferma e forzato ripristini su 130 account, portando via 118.000 dollari in Bitcoin.

Questa volta gli attaccanti sono esterni, utilizzando un modulo pubblico. L'obiettivo non è cambiato. Né è cambiato il consiglio su come rafforzare gli account X.

Se X limita il modulo o lascia questo agli utenti è ancora da vedere.

Fonte: BeInCrypto