X rozpoczął badanie fali niechcianych e-maili z resetem hasła i kodów potwierdzających, chociaż jego wstępna analiza nie wykazała dowodów na naruszenie systemów platformy.
Podsumowanie
- Użytkownicy X zgłaszali otrzymywanie wiadomości o resecie hasła, których nie żądali.
- Firma nie znalazła dowodów na naruszenie podczas wstępnego dochodzenia.
- X zalecił użytkownikom włączenie uwierzytelniania dwuskładnikowego i ochrony resetowania hasła.
- Fala e-maili zbiegła się z rozszerzeniem X Money na kwalifikujących się subskrybentów w USA.
X nie znajduje naruszenia we wstępnej analizie resetowania haseł
Członek zespołu inżynierii produktu X, Mridul Singhai, powiedział we wtorek, że firma bada zgłoszenia od użytkowników, którzy otrzymali nieoczekiwane e-maile i kody do resetowania hasła. Według Singhai, X nie zidentyfikował naruszenia swoich wewnętrznych systemów w momencie jego oświadczenia.
Kilku posiadaczy kont stwierdziło, że wiadomości dotarły bez żadnej ich próby zmiany danych logowania. Niektórzy użytkownicy zgłaszali również otrzymanie kilku próśb o reset, co rodzi pytania, czy nieznane osoby próbowały przejąć kontrolę nad ich kontami.
Niechciana wiadomość o resecie sama w sobie nie dowodzi, że hasło do konta zostało ujawnione lub że ktoś uzyskał do niego dostęp. X umożliwia rozpoczęcie procesu odzyskiwania przez podanie nazwy użytkownika, adresu e-mail lub numeru telefonu, po czym platforma wysyła kod potwierdzający na zarejestrowaną metodę kontaktu.
Mimo to użytkownicy nie powinni udostępniać kodu resetowania ani zatwierdzać zmiany hasła, której nie żądali. Singhai zalecił posiadaczom kont włączenie uwierzytelniania dwuskładnikowego i unikanie otwierania linków wysyłanych w nieoczekiwanych e-mailach.
Powiedział również, że atakujący wydają się wierzyć, iż zwiększony dostęp do X Money może uczynić kontrolę nad kontami X bardziej wartościową. Firma nie ujawniła, kto może być odpowiedzialny za te prośby, ile kont je otrzymało ani czy działanie pochodziło z zautomatyzowanej kampanii.
Ustawienia zabezpieczeń X mogą ograniczać prośby o reset
Zgodnie z opublikowanymi wskazówkami dotyczącymi bezpieczeństwa konta X, użytkownicy mogą włączyć ochronę resetowania hasła w sekcji Bezpieczeństwo w ustawieniach konta. Po włączeniu funkcja wymaga dodatkowych informacji identyfikacyjnych, zanim X wyśle link do resetowania hasła lub kod potwierdzający.
W zależności od informacji powiązanych z kontem użytkownik może być zobowiązany do podania adresu e-mail, numeru telefonu lub obu. Wymaganie tych szczegółów może utrudnić nieznanej stronie wywoływanie powtarzających się próśb o reset przy użyciu tylko publicznej nazwy użytkownika.
Uwierzytelnianie dwuskładnikowe dodaje kolejną kontrolę podczas logowania. X obecnie obsługuje wiadomości tekstowe, aplikacje uwierzytelniające i fizyczne klucze bezpieczeństwa, chociaż dostępne metody mogą zależeć od typu konta i statusu subskrypcji.
Zgodnie z instrukcjami odzyskiwania hasła platformy, kody resetowania wysyłane e-mailem pozostają ważne przez 60 minut. Ukończenie resetowania hasła wylogowuje konto ze wszystkich aktywnych sesji X, podczas gdy zmiana hasła z istniejącej sesji pozostawia sesję używaną do zmiany aktywną.
X szczególnie zaleca osobom, które wielokrotnie otrzymują niechciane e-maile z resetem, włączenie zarówno ochrony resetowania hasła, jak i uwierzytelniania dwuskładnikowego. Strona bezpieczeństwa informuje również użytkowników, aby przed wprowadzeniem danych logowania sprawdzili, czy strona logowania używa domeny x.com.
Zamiast klikać link w e-mailu, posiadacze kont mogą otworzyć aplikację X lub wpisać adres platformy bezpośrednio w przeglądarce, aby przejrzeć swoje ustawienia. X twierdzi, że jego legalne e-maile pochodzą z adresów kończących się na @x.com lub @e.x.com, nie zawierają załączników i nigdy nie proszą odbiorców o podanie hasła pocztą e-mail, w wiadomości bezpośredniej lub odpowiedzi.
Każdy, kto wprowadził dane logowania na nieznanej stronie internetowej, powinien zmienić hasło za pośrednictwem X, zabezpieczyć adres e-mail powiązany z kontem i usunąć dostęp dla nieznanych aplikacji innych firm, zgodnie z wytycznymi firmy. Nowe hasło powinno również różnić się od danych logowania używanych w innych usługach.
X Money rozszerza dostęp w całych Stanach Zjednoczonych
Raporty o e-mailach resetujących pojawiły się, gdy X rozszerzył X Money na subskrybentów Premium i Premium+ z kontami w USA. Usługa umożliwia uprawnionym użytkownikom wysyłanie sobie pieniędzy bez opuszczania platformy społecznościowej i opiera się na Cross River Bank dla swojej infrastruktury bankowej.
Jak wcześniej informował crypto.news, start X Money obejmuje konta depozytowe, natychmiastowe przelewy i kartę debetową Visa. Usługa oferuje również roczne zyski do 6%, a kwalifikujące się zakupy kartą X Card mogą przynieść 3% zwrotu gotówki.
Cross River przechowuje depozyty klientów i łączy X Money z sieciami bankowymi używanymi do przelewów. Depozyty przechowywane bezpośrednio w banku członkowskim Federalnej Korporacji Ubezpieczeń Depozytów (FDIC) mogą kwalifikować się do standardowego ubezpieczenia FDIC do 250 000 USD, zgodnie z zasadami agencji.
X Money korzysta również z programu zamiatania gotówki, który umieszcza środki w uczestniczących ubezpieczonych bankach. Kwalifikujący się klienci mogą otrzymać łączne przejściowe ubezpieczenie FDIC do 10 milionów USD, chociaż X Payments nie jest bankiem ani instytucją ubezpieczoną przez FDIC.
Usługa płatnicza używa kluczy dostępu do uwierzytelniania i daje klientom narzędzia do ustawiania limitów transakcji i dodatkowych wymogów zatwierdzania. Visa zapewnia środki bezpieczeństwa i zarządzania ryzykiem dla zakupów dokonywanych za pośrednictwem X Card.
Początkowy dostęp był ograniczony do wybranych użytkowników Premium+, gdy usługa płatnicza rozpoczęła korzystanie z infrastruktury Cross River w czerwcu. X później dodał subskrybentów Premium, rozszerzając dostępność w całych Stanach Zjednoczonych.
Pomimo wcześniejszej współpracy Cross River z Ripple, ani X, ani bank nie ogłosiły wsparcia dla XRP ani innej kryptowaluty w ramach X Money. Obecna usługa przesyła dolary amerykańskie przez konwencjonalne sieci bankowe i kartowe.
X rozważał również płatności stablecoinami dla twórców
Plany finansowe X wykraczają poza przelewy między użytkownikami. W sierpniu firma rozważała płatności USDC i inne stablecoiny jako możliwe opcje dla nagród dla twórców, według osoby zaznajomionej z dyskusjami.
W czasie tego raportu nie wybrano żadnego tokena, sieci blockchain ani daty premiery. X nie ujawnił również, czy twórcy otrzymywaliby stablecoiny automatycznie, czy wybieraliby je jako alternatywę dla płatności bankowych.
Dyskusje miały miejsce przed planowanym zastąpieniem programu Revenue Sharing przez Original Content Rewards 8 września. Zgodnie z ogłoszonymi zasadami kwalifikowalności X, twórcy muszą mieć co najmniej 500 zweryfikowanych obserwujących i 500 000 wyświetleń na osi czasu głównej od zweryfikowanych użytkowników w ciągu ostatnich 90 dni.
X nie potwierdził, że aktywa cyfrowe zostaną dodane do X Money. Usługa płatnicza platformy pozostaje obecnie ograniczona do kwalifikujących się subskrybentów w USA, a firma nie podała harmonogramu dostępu dla bezpłatnych kont lub użytkowników spoza kraju.
