X начал расследование волны нежелательных писем для сброса пароля и кодов подтверждения, хотя первоначальная проверка не выявила доказательств взлома систем платформы.
Краткое содержание
- Пользователи X сообщили о получении сообщений о сбросе пароля, которые они не запрашивали.
- Компания не обнаружила доказательств взлома в ходе первоначального расследования.
- X рекомендовал пользователям включить двухфакторную аутентификацию и защиту сброса пароля.
- Волна писем совпала с расширением X Money для подходящих подписчиков в США.
X не обнаружил взлома при первоначальной проверке сброса пароля
Сотрудник команды продуктовой инженерии X Мридул Сингхай заявил во вторник, что компания изучает сообщения пользователей, получивших неожиданные письма и коды для сброса пароля. По словам Сингхая, на момент его заявления X не выявил компрометации внутренних систем.
Некоторые владельцы аккаунтов сообщили, что сообщения приходили без каких-либо попыток с их стороны изменить данные для входа. Некоторые пользователи также сообщили о получении нескольких запросов на сброс, что вызывает вопросы о том, пытались ли неизвестные лица получить контроль над их аккаунтами.
Нежелательное сообщение о сбросе само по себе не доказывает, что пароль аккаунта был раскрыт или что кто-то получил доступ. X позволяет начать процесс восстановления, введя имя пользователя, адрес электронной почты или номер телефона, после чего платформа отправляет код подтверждения на зарегистрированный контактный метод.
Тем не менее, пользователям не следует делиться кодом сброса или одобрять изменение пароля, которое они не запрашивали. Сингхай посоветовал владельцам аккаунтов включить двухфакторную аутентификацию и избегать открытия ссылок, отправленных через неожиданные письма.
Он также сказал, что злоумышленники, по-видимому, считают, что расширенный доступ к X Money может сделать контроль над аккаунтами X более ценным. Компания не раскрыла, кто может быть ответственен за запросы, сколько аккаунтов их получили или была ли эта активность автоматизированной кампанией.
Настройки безопасности X могут ограничить запросы на сброс
Согласно опубликованным рекомендациям по безопасности аккаунта X, пользователи могут включить защиту сброса пароля в разделе «Безопасность» в настройках аккаунта. После включения эта функция требует дополнительную идентификационную информацию перед отправкой ссылки для сброса пароля или кода подтверждения.
В зависимости от информации, связанной с аккаунтом, пользователю может потребоваться указать адрес электронной почты, номер телефона или оба. Требование этих данных может затруднить неизвестной стороне возможность инициировать повторные запросы на сброс, используя только публичное имя пользователя.
Двухфакторная аутентификация добавляет дополнительную проверку при входе. X в настоящее время поддерживает текстовые сообщения, приложения для аутентификации и физические ключи безопасности, хотя доступные методы могут зависеть от типа аккаунта и статуса подписки.
Согласно инструкциям по восстановлению пароля платформы, коды сброса, отправленные по электронной почте, остаются действительными в течение 60 минут. Завершение сброса пароля выводит аккаунт из всех активных сеансов X, а изменение пароля из существующего сеанса оставляет сеанс, использованный для изменения, активным.
X специально советует людям, которые неоднократно получают нежелательные письма о сбросе, включить как защиту сброса пароля, так и двухфакторную аутентификацию. На странице безопасности также говорится, что пользователи должны проверять, что страница входа использует домен x.com, прежде чем вводить учетные данные.
Вместо того чтобы переходить по ссылке из электронного письма, владельцы учетных записей могут открыть приложение X или ввести адрес платформы непосредственно в браузере, чтобы проверить свои настройки. X заявляет, что его легитимные письма приходят с адресов, оканчивающихся на @x.com или @e.x.com, не содержат вложений и никогда не просят получателей сообщать свой пароль по электронной почте, в личном сообщении или в ответе.
Любой, кто ввел учетные данные на незнакомом веб-сайте, должен изменить пароль через X, защитить адрес электронной почты, связанный с учетной записью, и удалить доступ для неузнаваемых сторонних приложений, согласно рекомендациям компании. Новый пароль также должен отличаться от учетных данных, используемых в других сервисах.
X Money расширяет доступ по всей территории Соединенных Штатов
Сообщения о сбросе пароля появились в то время, когда X расширил X Money для подписчиков Premium и Premium+ с учетными записями в США. Сервис позволяет подходящим пользователям отправлять деньги друг другу, не покидая социальную платформу, и полагается на Cross River Bank для своей банковской инфраструктуры.
Как ранее сообщал crypto.news, запуск X Money включает депозитные счета, мгновенные переводы и дебетовую карту Visa. Сервис также предлагает годовую доходность до 6%, а при соответствующих покупках по карте X можно получить 3% кэшбэка.
Cross River хранит депозиты клиентов и подключает X Money к банковским сетям, используемым для переводов. Депозиты, размещенные непосредственно в банке-члене Федеральной корпорации по страхованию вкладов (FDIC), могут претендовать на стандартную страховку FDIC в размере до 250 000 долларов США, в соответствии с правилами агентства.
X Money также использует программу автоматического перевода средств, которая размещает средства в участвующих застрахованных банках. Подходящие клиенты могут получить совокупное покрытие FDIC в размере до 10 миллионов долларов США, хотя X Payments не является банком или учреждением, застрахованным FDIC.
Платежный сервис использует ключи доступа для аутентификации и предоставляет клиентам инструменты для установления лимитов транзакций и дополнительных требований к одобрению. Visa обеспечивает меры безопасности и управления рисками для покупок, совершаемых с помощью карты X.
Первоначальный доступ был ограничен отдельными пользователями Premium+, когда платежный сервис начал использовать инфраструктуру Cross River в июне. Позже X добавил подписчиков Premium, расширяя доступность по всей территории Соединенных Штатов.
Несмотря на прошлую работу Cross River с Ripple, ни X, ни банк не объявили о поддержке XRP или другой криптовалюты в X Money. Текущий сервис перемещает доллары США через обычные банковские и карточные сети.
X также рассматривал выплаты создателям в стейблкоинах
Финансовые планы X выходят за рамки переводов между пользователями. В августе компания рассматривала платежи в USDC и других стейблкоинах как возможные варианты для вознаграждений создателям, сообщил источник, знакомый с обсуждениями.
На момент этого сообщения не был выбран ни токен, ни блокчейн-сеть, ни дата запуска. X также не раскрыл, будут ли создатели получать стейблкоины автоматически или выбирать их в качестве альтернативы банковским платежам.
Обсуждения предшествовали запланированной замене программы Revenue Sharing на Original Content Rewards 8 сентября. Согласно объявленным правилам X, создателям необходимо не менее 500 подтвержденных подписчиков и 500 000 показов в ленте "Главная" от подтвержденных пользователей за предыдущие 90 дней.
X не подтвердил, что цифровые активы будут добавлены в X Money. Платежный сервис платформы в настоящее время остается ограниченным для подходящих подписчиков в США, и компания не предоставила сроки доступа для бесплатных учетных записей или пользователей за пределами страны.
