X hat mit der Untersuchung einer Welle unaufgeforderter E-Mails zur Passwortzurücksetzung und Bestätigungscodes begonnen, obwohl die erste Überprüfung keine Hinweise darauf ergeben hat, dass die Systeme der Plattform kompromittiert wurden.
Zusammenfassung
- X-Nutzer berichteten, dass sie Passwortzurücksetzungsnachrichten erhalten haben, die sie nicht angefordert hatten.
- Das Unternehmen hat bei seiner ersten Untersuchung keine Hinweise auf einen Sicherheitsvorfall gefunden.
- X riet den Nutzern, die Zwei-Faktor-Authentifizierung und den Schutz vor Passwortzurücksetzung zu aktivieren.
- Die E-Mail-Welle fiel mit der Ausweitung von X Money auf berechtigte US-Abonnenten zusammen.
X findet bei erster Überprüfung der Passwortzurücksetzung keinen Sicherheitsvorfall
Mridul Singhai, Mitglied des X-Produktentwicklungsteams, sagte am Dienstag, dass das Unternehmen Berichte von Nutzern untersuche, die unerwartete E-Mails und Codes zur Passwortzurücksetzung erhalten haben. Laut Singhai hatte X zum Zeitpunkt seiner Aussage keine Kompromittierung seiner internen Systeme festgestellt.
Mehrere Kontoinhaber sagten, dass die Nachrichten eingetroffen seien, ohne dass sie selbst versucht hätten, ihre Anmeldedaten zu ändern. Einige Nutzer berichteten auch, mehrere Zurücksetzungsanfragen erhalten zu haben, was Fragen aufwarf, ob unbekannte Parteien versuchten, die Kontrolle über ihre Konten zu übernehmen.
Eine unaufgeforderte Zurücksetzungsnachricht zeigt für sich genommen nicht, dass ein Kontopasswort offengelegt wurde oder dass jemand Zugriff erlangt hat. X ermöglicht es einer Person, den Wiederherstellungsprozess zu starten, indem sie einen Kontobenutzernamen, eine E-Mail-Adresse oder eine Telefonnummer eingibt, woraufhin die Plattform einen Bestätigungscode an die registrierte Kontaktmethode sendet.
Dennoch sollten Nutzer keinen Zurücksetzungscode weitergeben oder eine Passwortänderung genehmigen, die sie nicht angefordert haben. Singhai riet Kontoinhabern, die Zwei-Faktor-Authentifizierung zu aktivieren und das Öffnen von Links zu vermeiden, die über unerwartete E-Mails gesendet werden.
Er sagte auch, dass Angreifer offenbar glaubten, dass der erweiterte Zugang zu X Money die Kontrolle über X-Konten wertvoller machen könnte. Das Unternehmen hat nicht offengelegt, wer für die Anfragen verantwortlich sein könnte, wie viele Konten sie erhalten haben oder ob die Aktivität von einer automatisierten Kampagne stammte.
X-Sicherheitseinstellungen können Zurücksetzungsanfragen einschränken
Gemäß den veröffentlichten Kontosicherheitsrichtlinien von X können Nutzer den Schutz vor Passwortzurücksetzung im Sicherheitsbereich ihrer Kontoeinstellungen aktivieren. Nach der Aktivierung erfordert diese Funktion zusätzliche identifizierende Informationen, bevor X einen Link zur Passwortzurücksetzung oder einen Bestätigungscode sendet.
Je nach den mit einem Konto verbundenen Informationen muss ein Nutzer möglicherweise eine E-Mail-Adresse, eine Telefonnummer oder beides angeben. Die Anforderung dieser Details kann es einer unbekannten Partei erschweren, wiederholte Zurücksetzungsanfragen nur mit einem öffentlichen Benutzernamen auszulösen.
Die Zwei-Faktor-Authentifizierung fügt beim Login eine weitere Prüfung hinzu. X unterstützt derzeit Textnachrichten, Authentifizierungs-Apps und physische Sicherheitsschlüssel, wobei die verfügbaren Methoden vom Kontotyp und Abonnementstatus abhängen können.
Gemäß den Anweisungen zur Passwortwiederherstellung der Plattform bleiben per E-Mail gesendete Zurücksetzungscodes 60 Minuten lang gültig. Das Abschließen einer Passwortzurücksetzung meldet das Konto von allen aktiven X-Sitzungen ab, während das Ändern eines Passworts aus einer bestehenden Sitzung die für die Änderung verwendete Sitzung aktiv lässt.
X rät Personen, die wiederholt Zurücksetzungs-E-Mails erhalten, die sie nicht angefordert haben, ausdrücklich, sowohl den Schutz vor Passwortzurücksetzung als auch die Zwei-Faktor-Authentifizierung zu aktivieren. Auf der Sicherheitsseite wird den Nutzern auch geraten, vor der Eingabe von Kontodaten zu überprüfen, ob eine Anmeldeseite die Domäne x.com verwendet.
Anstatt einem E-Mail-Link zu folgen, können Kontoinhaber die X-Anwendung öffnen oder die Adresse der Plattform direkt in einen Browser eingeben, um ihre Einstellungen zu überprüfen. X sagt, dass legitime E-Mails von Adressen stammen, die auf @x.com oder @e.x.com enden, keine Anhänge enthalten und Empfänger niemals auffordern, ihr Passwort per E-Mail, Direktnachricht oder Antwort anzugeben.
Wer Anmeldedaten auf einer unbekannten Website eingegeben hat, sollte das Passwort über X ändern, die mit dem Konto verknüpfte E-Mail-Adresse sichern und den Zugriff für nicht erkannte Drittanbieter-Anwendungen entfernen, so die Anleitung des Unternehmens. Ein neues Passwort sollte sich auch von den Anmeldedaten unterscheiden, die für andere Dienste verwendet werden.
X Money erweitert den Zugang in den gesamten Vereinigten Staaten
Die Berichte über zurückgesetzte E-Mails tauchten auf, als X X Money auf Premium- und Premium+-Abonnenten mit US-Konten ausweitete. Der Dienst ermöglicht berechtigten Benutzern, Geld aneinander zu senden, ohne die soziale Plattform zu verlassen, und verlässt sich für seine Bankinfrastruktur auf die Cross River Bank.
Wie crypto.news bereits berichtete, umfasst der Start von X Money Girokonten, sofortige Überweisungen und eine Visa-Debitkarte. Der Dienst bietet außerdem jährliche Renditen von bis zu 6 %, während berechtigte X-Card-Käufe 3 % Cashback einbringen können.
Cross River hält Kundeneinlagen und verbindet X Money mit den Bankennetzen, die für Überweisungen verwendet werden. Einlagen, die direkt bei einer Bank gehalten werden, die Mitglied der Federal Deposit Insurance Corporation ist, können je nach den Regeln der Behörde für eine Standard-FDIC-Versicherung von bis zu 250.000 US-Dollar qualifiziert sein.
X Money verwendet außerdem ein Cash-Sweep-Programm, das Gelder auf teilnehmende versicherte Banken verteilt. Berechtigte Kunden können einen aggregierten Pass-through-FDIC-Schutz von bis zu 10 Millionen US-Dollar erhalten, obwohl X Payments keine Bank und kein FDIC-versichertes Institut ist.
Der Zahlungsdienst verwendet Passkeys zur Authentifizierung und gibt Kunden Werkzeuge, um Transaktionslimits und zusätzliche Genehmigungsanforderungen festzulegen. Visa bietet Sicherheits- und Risikomanagementmaßnahmen für Käufe, die über die X Card getätigt werden.
Der anfängliche Zugang war auf ausgewählte Premium+-Benutzer beschränkt, als der Zahlungsdienst begann, die Infrastruktur von Cross River im Juni zu nutzen. X fügte später Premium-Abonnenten hinzu, als es die Verfügbarkeit in den gesamten Vereinigten Staaten ausweitete.
Trotz der früheren Zusammenarbeit von Cross River mit Ripple haben weder X noch die Bank Unterstützung für XRP oder eine andere Kryptowährung innerhalb von X Money angekündigt. Der aktuelle Dienst bewegt US-Dollar über konventionelle Bank- und Kartennetze.
X hat auch Zahlungen an Ersteller von Stablecoins in Betracht gezogen
Die finanziellen Pläne von X gehen über Überweisungen zwischen Benutzern hinaus. Im August erwog das Unternehmen USDC-Zahlungen und andere Stablecoins als mögliche Optionen für Creator-Belohnungen, so eine Person, die mit den Diskussionen vertraut ist.
Zum Zeitpunkt dieses Berichts waren weder ein Token, ein Blockchain-Netzwerk noch ein Startdatum ausgewählt worden. X hatte auch nicht offengelegt, ob Ersteller Stablecoins automatisch erhalten oder sie als Alternative zu Bankzahlungen wählen können.
Die Diskussionen fanden vor der geplanten Ersetzung des Revenue-Sharing-Programms durch Original Content Rewards am 8. September statt. Nach den angekündigten Berechtigungsregeln von X benötigen Ersteller mindestens 500 verifizierte Follower und 500.000 Home-Timeline-Impressionen von verifizierten Benutzern in den letzten 90 Tagen.
X hat nicht bestätigt, dass digitale Vermögenswerte zu X Money hinzugefügt werden. Der Zahlungsdienst der Plattform bleibt derzeit auf berechtigte US-Abonnenten beschränkt, und das Unternehmen hat keinen Zeitplan für den Zugang für kostenlose Konten oder Benutzer außerhalb des Landes angegeben.
