В облікових записах сервісу X у вівторок було зафіксовано надходження електронних листів із запитами на скидання пароля, ініційованих без відома власників. В одному з користувацьких поштових ящиків зафіксовано вісім листів протягом трьох хвилин. Представники X заявили, що ознак компрометації не виявлено.
Дані електронні листи надходять безпосередньо від X, а не від фішингових відправників. Зловмисники багаторазово використовують офіційну форму відновлення під обліковими іменами, які є у відкритому доступі.
Підписуйтесь на нас у X, щоб оперативно отримувати перевірені новини.
Масована спроба злому X
Пояснення надали через Мрідула Сінгхаї, продуктового інженера компанії. Було висловлено можливий мотив, спростовано факт проникнення в інфраструктуру та запропоновано вибачення.
Зловмисники, ймовірно, вважають, що зі зростанням доступності XMoney можуть незаконно отримати контроль над обліковими записами. Ми ведемо поточне розслідування й наразі не знайшли підтверджень компрометації. Просимо вибачення за масові листи й висловлюємо вдячність за вашу витримку…, — написав Сінгхаї.
Це стало єдиною офіційною заявою. Головний обліковий запис X, а також X Support і X Money залишилися без коментарів.
Зазначена мотивація корелює з нещодавніми подіями. X Money запустив функціонал p2p платежів для підписників US Premium наприкінці червня. Зберігання депозитів забезпечує Cross River Bank, страховий ліміт — до $10 млн.
Таким чином, обліковий запис X фактично стає банківським логіном. Це якісно змінює ризики. Якщо профіль буде викрадений — можлива дезінформація, зокрема промоція фіктивних токенів, або компрометація гаманця з подальшим виведенням коштів.
Факт витоку інформації не підтверджено. Атаки цього типу зазвичай ґрунтуються на використанні застарілих баз електронних адрес, які роками циркулюють на кримінальних ринках.
Методи захисту X від масових запитів на скидання пароля
У формі відновлення X достатньо ввести ім’я користувача. Останнє є публічним, що й створює вразливість.
Рекомендоване рішення вже впроваджено: відповідно до довідкових матеріалів X, користувачам, які отримали небажані запити на скидання пароля, необхідно активувати функцію захисту від скидання пароля. Після цього форма вимагатиме додатково ввести прив’язану електронну адресу або номер телефону.
Нікіта Бір, екс-керівник напряму продукту в X, розмістив ілюстрацію даної функції у вівторок. Його скріншот отримав понад 85 000 переглядів протягом дня.
«Просто увімкніть цю опцію», — запропонував Бір.
Додатково рекомендуються ще два етапи захисту:
- Використовуйте додаток-аутентифікатор замість SMS, а також додайте passkey (індивідуальний ключ), який формує зв’язок із певним пристроєм.
- Ігноруйте подібні листи, оскільки злочинці часто застосовують фальшиві вікна підтвердження 2FA для компрометації криптовалютних гаманців.
X уже стикався із подібною ситуацією, але з внутрішньої сторони. У липні 2020 року шахрайство полягало у соціальній інженерії щодо співробітників, завдяки чому було отримано доступ до внутрішньої системи адміністрування. Це дозволило змінити підтвердження та спровокувати примусове скидання для 130 акаунтів, що завершилося виведенням $118 000 у біткойні.
Нині атаки здійснюються зовні — з використанням публічної форми. Мета у зловмисників не змінилася. Рекомендації щодо підвищення захищеності X-акаунтів залишаються сталими: деталі щодо персонального захисту.
Немає інформації, чи X обмежує запити на форму, або ж відповідальність за захист перекладається на користувачів.
