X（Twitter）警报：大规模密码重置攻击爆发

周二，X账户收到了没人请求的密码重置邮件。一位用户的收件箱显示在三分钟内收到了八封邮件。X表示没有发现任何泄露。

这些邮件是真实的，来自X本身，而不是假冒发件人。攻击者不断针对公共用户名使用X自己的恢复表单。

在X上关注我们，获取最新新闻动态

对X的重大黑客攻击尝试

X通过公司产品工程师Mridul Singhai作出了回应。他给出了动机，否认了泄露，并表示歉意。

攻击者似乎认为，既然XMoney已经广泛可用，他们就可以未经授权访问账户。我们正在积极调查此问题，到目前为止，没有发现任何泄露的证据。我们对多封邮件表示歉意，并感谢您的耐心……，Singhai写道。

这是公司对此事的唯一回应。主要的X账户、X支持和X Money都保持沉默。

这个动机与日历相符。X Money在6月底开始为美国高级订阅者提供点对点支付。存款存放在Cross River Bank，联邦保险最高可达1000万美元。

因此，X登录现在也是银行登录。这改变了计算方式。被盗的个人资料可以促进假令牌。被盗的钱包可以被清空。

尚未确认任何泄露。这种攻击通常依赖于在犯罪市场上流传多年的旧邮件列表。

X用户如何停止重置垃圾邮件

X的恢复表单仅接受用户名。用户名是公开的。这就是整个开头。

解决方案已经存在：X的帮助页面告诉任何收到“未请求”重置的人开启密码重置保护。然后表单首先要求提供注册的电子邮件或电话。

前X产品负责人Nikita Bier在周二发布了这个切换。他的截图在下午达到了85,000次浏览。

“只需开启这个，”Bier指出。

还有两层额外保护：

• 使用身份验证器应用程序而不是短信，并添加一个密码密钥，将登录与您的设备绑定。
• 保持电子邮件不变，因为虚假的2FA提示曾经导致加密钱包被盗。

X以前也经历过这种情况，尽管是从内部。在2020年7月，攻击者通过与员工交谈进入了内部管理工具。他们更改了确认电子邮件并强制重置了130个账户，盗取了118,000美元的比特币。

这次攻击者在外部，使用公共表单。目标没有改变。关于加强X账户的建议也没有改变。

X是否对表单进行速率限制或将其留给用户仍然悬而未决。

来源：BeInCrypto