Alerta en X (Twitter): estalla un gran ataque de restablecimiento de contraseñas
X cuentas fueron afectadas el martes por correos electrónicos de restablecimiento de contraseña que nadie pidió. La bandeja de entrada de un usuario muestra ocho correos electrónicos llegando en tres minutos. X dice que no ha encontrado ninguna violación.
Los correos electrónicos son reales, provienen de X mismo, no de remitentes falsos. Los atacantes están apuntando al propio formulario de recuperación de X a nombres de usuario públicos, una y otra vez.
Síguenos en X para obtener las últimas noticias a medida que suceden
Intento de Hackeo Mayor en X
X respondió a través de Mridul Singhai, un ingeniero de producto de la empresa. Dio un motivo, negó una violación y se disculpó.
Los atacantes parecen creer que, ahora que XMoney está ampliamente disponible, pueden obtener acceso no autorizado a las cuentas. Estamos investigando activamente el problema y, hasta ahora, no hemos encontrado evidencia de ninguna violación. Nos disculpamos por los múltiples correos electrónicos y apreciamos su paciencia…”, escribió Singhai.
Esa fue la única palabra de la empresa al respecto. La cuenta principal de X, X Support y X Money permanecieron en silencio.
El motivo se ajusta al calendario. X Money comenzó los pagos entre pares para suscriptores Premium de EE. UU. a finales de junio. Los depósitos están en Cross River Bank, con un seguro federal de hasta $10 millones.
Así que un inicio de sesión en X ahora también es un inicio de sesión bancario. Eso cambia las matemáticas. Un perfil robado puede promover un token falso. Una billetera robada puede ser vaciada.
No se ha confirmado ninguna filtración. Ataques como este generalmente se basan en listas de correos electrónicos antiguos que circulan en mercados criminales durante años.
Cómo los Usuarios de X Pueden Detener el Spam de Restablecimiento
El formulario de recuperación de X acepta un nombre de usuario por sí solo. Los nombres de usuario son públicos. Esa es toda la apertura.
La solución ya existe: las páginas de ayuda de X dicen a cualquiera que reciba restablecimientos que “no solicitó” que active la protección de restablecimiento de contraseña. El formulario luego exige primero el correo electrónico o el teléfono registrado.
Nikita Bier, exjefe de producto en X, publicó el interruptor el martes. Su captura de pantalla superó las 85,000 vistas para la tarde.
“Simplemente activa esto”, señaló Bier.
Dos capas más ayudan:
- Usa una aplicación de autenticación en lugar de mensajes de texto, y añade una clave de acceso, que vincula el inicio de sesión a tu dispositivo.
- Deja los correos electrónicos en paz, porque los falsos avisos de 2FA han drenado carteras de criptomonedas antes.
X ha estado aquí antes, aunque desde adentro. En julio de 2020, los atacantes lograron engañar al personal y accedieron a una herramienta administrativa interna. Intercambiaron correos electrónicos de confirmación y forzaron restablecimientos en 130 cuentas, llevándose $118,000 en Bitcoin.
Esta vez los atacantes están afuera, utilizando un formulario público. El objetivo no ha cambiado. Tampoco lo ha hecho el consejo sobre cómo fortalecer las cuentas de X.
Si X limita la tasa del formulario o deja esto a los usuarios sigue siendo una incógnita.
Fuente: BeInCrypto