X ha comenzado a investigar una ola de correos electrónicos no solicitados de restablecimiento de contraseña y códigos de confirmación, aunque su revisión inicial no ha encontrado evidencia de que los sistemas de la plataforma hayan sido vulnerados.
Resumen
- Los usuarios de X informaron haber recibido mensajes de restablecimiento de contraseña que no habían solicitado.
- La compañía no ha encontrado evidencia de una violación durante su investigación inicial.
- X aconsejó a los usuarios habilitar la autenticación de dos factores y la protección de restablecimiento de contraseña.
- La ola de correos electrónicos coincidió con la expansión de X Money a suscriptores elegibles en EE. UU.
X no encuentra violación en la revisión inicial de restablecimiento de contraseña
Mridul Singhai, miembro del equipo de ingeniería de productos de X, dijo el martes que la compañía estaba examinando los informes de usuarios que recibieron correos electrónicos y códigos de restablecimiento de contraseña inesperados. Según Singhai, X no había identificado un compromiso de sus sistemas internos en el momento de su declaración.
Varios titulares de cuentas dijeron que los mensajes llegaron sin ningún intento de su parte de cambiar sus datos de inicio de sesión. Algunos usuarios también informaron haber recibido varias solicitudes de restablecimiento, lo que planteó preguntas sobre si partes desconocidas estaban tratando de tomar el control de sus cuentas.
Un mensaje de restablecimiento no solicitado no muestra por sí mismo que la contraseña de una cuenta haya sido expuesta o que alguien haya obtenido acceso. X permite que una persona inicie el proceso de recuperación ingresando un nombre de usuario, dirección de correo electrónico o número de teléfono de la cuenta, después de lo cual la plataforma envía un código de confirmación al método de contacto registrado.
Aun así, los usuarios no deben compartir un código de restablecimiento ni aprobar un cambio de contraseña que no hayan solicitado. Singhai aconsejó a los titulares de cuentas habilitar la autenticación de dos factores y evitar abrir enlaces enviados a través de correos electrónicos inesperados.
También dijo que los atacantes parecían creer que el mayor acceso a X Money podría hacer que el control de las cuentas de X fuera más valioso. La compañía no ha revelado quién podría ser responsable de las solicitudes, cuántas cuentas las recibieron o si la actividad provino de una campaña automatizada.
La configuración de seguridad de X puede restringir las solicitudes de restablecimiento
Según la guía de seguridad de cuentas publicada por X, los usuarios pueden activar la protección de restablecimiento de contraseña desde la sección de Seguridad de la configuración de su cuenta. Una vez habilitada, la función requiere información de identificación adicional antes de que X envíe un enlace de restablecimiento de contraseña o un código de confirmación.
Dependiendo de la información vinculada a una cuenta, un usuario puede necesitar proporcionar una dirección de correo electrónico, un número de teléfono o ambos. Exigir esos detalles puede dificultar que una parte desconocida active solicitudes de restablecimiento repetidas usando solo un nombre de usuario público.
La autenticación de dos factores agrega otra verificación durante el inicio de sesión. X actualmente admite mensajes de texto, aplicaciones de autenticación y claves de seguridad físicas, aunque los métodos disponibles pueden depender del tipo de cuenta y del estado de suscripción.
Según las instrucciones de recuperación de contraseña de la plataforma, los códigos de restablecimiento enviados por correo electrónico siguen siendo válidos durante 60 minutos. Completar un restablecimiento de contraseña cierra la sesión de la cuenta en todas las sesiones activas de X, mientras que cambiar una contraseña desde una sesión existente deja activa la sesión utilizada para el cambio.
X aconseja específicamente a las personas que reciben repetidamente correos electrónicos de restablecimiento que no solicitaron que habiliten tanto la protección de restablecimiento de contraseña como la autenticación de dos factores. Su página de seguridad también dice a los usuarios que verifiquen que una página de inicio de sesión use el dominio x.com antes de ingresar las credenciales de la cuenta.
En lugar de seguir un enlace de correo electrónico, los titulares de cuentas pueden abrir la aplicación X o escribir la dirección de la plataforma directamente en un navegador para revisar su configuración. X dice que sus correos electrónicos legítimos provienen de direcciones que terminan en @x.com o @e.x.com, no incluyen archivos adjuntos y nunca piden a los destinatarios que proporcionen su contraseña por correo electrónico, mensaje directo o respuesta.
Cualquier persona que haya ingresado credenciales en un sitio web desconocido debe cambiar la contraseña a través de X, asegurar la dirección de correo electrónico vinculada a la cuenta y eliminar el acceso de aplicaciones de terceros no reconocidas, según la guía de la compañía. Una nueva contraseña también debe ser diferente de las credenciales utilizadas en otros servicios.
X Money amplía el acceso en todo Estados Unidos
Los informes de correos electrónicos de restablecimiento surgieron cuando X amplió X Money a suscriptores Premium y Premium+ con cuentas en EE. UU. El servicio permite a los usuarios elegibles enviarse dinero entre sí sin salir de la plataforma social y depende de Cross River Bank para su infraestructura bancaria.
Como informó anteriormente crypto.news, el lanzamiento de X Money incluye cuentas de depósito, transferencias instantáneas y una tarjeta de débito Visa. El servicio también ofrece rendimientos anuales de hasta el 6%, mientras que las compras elegibles con X Card pueden ganar un 3% de reembolso en efectivo.
Cross River mantiene los depósitos de los clientes y conecta X Money con las redes bancarias utilizadas para las transferencias. Los depósitos mantenidos directamente en un banco miembro de la Corporación Federal de Seguros de Depósitos pueden calificar para el seguro estándar de la FDIC de hasta $250,000, sujeto a las reglas de la agencia.
X Money también utiliza un programa de barrido de efectivo que coloca fondos en bancos asegurados participantes. Los clientes elegibles pueden recibir cobertura agregada de la FDIC de hasta $10 millones, aunque X Payments no es un banco ni una institución asegurada por la FDIC.
El servicio de pagos utiliza claves de acceso para la autenticación y brinda a los clientes herramientas para establecer límites de transacción y requisitos de aprobación adicionales. Visa proporciona medidas de seguridad y gestión de riesgos para las compras realizadas a través de X Card.
El acceso inicial se había limitado a usuarios seleccionados de Premium+ cuando el servicio de pagos comenzó a utilizar la infraestructura de Cross River en junio. X luego agregó suscriptores Premium a medida que ampliaba la disponibilidad en todo Estados Unidos.
A pesar del trabajo pasado de Cross River con Ripple, ni X ni el banco han anunciado soporte para XRP u otra criptomoneda dentro de X Money. El servicio actual mueve dólares estadounidenses a través de redes bancarias y de tarjetas convencionales.
X también ha considerado pagos a creadores con stablecoins
Los planes financieros de X se extienden más allá de las transferencias entre usuarios. En agosto, la compañía estaba considerando pagos con USDC y otras stablecoins como posibles opciones para las recompensas de los creadores, según una persona familiarizada con las discusiones.
Ningún token, red blockchain o fecha de lanzamiento había sido seleccionado en el momento de ese informe. X tampoco había revelado si los creadores recibirían stablecoins automáticamente o las elegirían como alternativa a los pagos bancarios.
Las discusiones se produjeron antes del reemplazo planificado por la plataforma de su programa de Reparto de Ingresos con Recompensas por Contenido Original el 8 de septiembre. Según las reglas de elegibilidad anunciadas por X, los creadores necesitan al menos 500 seguidores verificados y 500,000 impresiones de la cronología de inicio de usuarios verificados durante los 90 días anteriores.
X no ha confirmado que se agregarán activos digitales a X Money. El servicio de pagos de la plataforma actualmente sigue limitado a suscriptores elegibles de EE. UU., y la compañía no ha proporcionado un cronograma para el acceso de cuentas gratuitas o usuarios fuera del país.
