X数据泄露？用户被大量未经请求的密码重置邮件淹没

简要

• 自8月初以来，X用户一直在发布关于他们从未触发的密码重置邮件、登录提醒和账户锁定的帖子。
• X尚未承认或报告新的数据泄露；研究人员将这些活动追溯到2021-2022年的API漏洞、2025年的2.01亿条记录数据集、活跃的僵尸网络以及自7月以来一直在进行的网络钓鱼活动。
• Proton（一些X用户将其用作恢复邮箱）正在单独处理与硬件故障相关的服务中断，这与X无关，但如果那是你账户绑定的收件箱，则与之相关。

X用户在过去的几周里一直收到他们从未要求的密码重置邮件，包括今天刚刚出现的大量邮件。

一些X用户还看到来自陌生地点的登录提醒，少数人报告称他们被暂时锁定在数周未使用的账户之外。

这些重置邮件是真实的，不是伪造的——它们来自X自己的系统。因此，这些邮件是合法的，但它们是由账户的合法所有者未请求的，这正是现在让所有人惊慌失措的原因。

这是一个熟悉的场景。Instagram用户在一月份就经历过几乎相同的恐慌，当时未经请求的重置邮件与一个包含1750万个账户的数据集出现在暗网论坛上，而《福布斯》当时报道了这一情况。Meta后来确认，一个漏洞允许外部方触发重置邮件，同时否认其自身系统遭到任何破坏。

一个不断引发新恐慌的旧漏洞

X尚未承认或报告任何最近的泄露事件，但该公司已意识到这一情况。在最近的一条推文中，X工程师Mridul Singhai为造成的不便道歉，并表示他们不知道有任何新的泄露，黑客似乎试图控制X账户，以获取X Money的访问权限。

最近大量邮件的涌入可能与多年前的一次数据泄露有关，该泄露可能正在重新浮出水面。2022年1月，Twitter API中的一个漏洞允许攻击者将电子邮件地址和电话号码与账户进行匹配，由此产生的数据集覆盖了超过2亿用户，现在已被收录在“Have I Been Pwned”网站上。网站创始人Troy Hunt发现，该数据集中98%的地址已经出现在早期无关的泄露事件中。

一个更新的文件使问题更加严重。2025年4月，一名使用ThinkingOne代号的黑客在BreachForums论坛上发布了一个34GB的文件，包含2.01亿条X用户记录——屏幕名称、电子邮件地址、账户创建日期、关注者数量——据福克斯新闻报道。

SafetyDetectives的研究人员将样本与活跃的X个人资料进行了核对，并确认这些电子邮件与活跃账户匹配。Twitter和X之前已经处理过类似事件，从2016年出售3300万个登录信息，到Decrypt多年来记录的一系列事件，包括2023年一个漏洞，任何人都可以一键接管账户，而发现该漏洞的研究人员被禁言而不是获得报酬。

机器人做基础工作，网络钓鱼做其余部分

这两个数据集都不需要新的黑客攻击就能持续造成损害。流传的电子邮件地址助长了两个正在进行的行动。

Breakglass Intelligence的研究人员在2026年4月发现了一个不安全的命令与控制面板，该面板正在积极使用被盗凭据对X账户进行测试，在12分钟的观察窗口内测试了722,763对，并确认了18个新的入侵。

在其生命周期中，该僵尸网络已通过检查器运行了超过480万个X账户，双因素认证阻止了85.6%的尝试。

另外，一个与任何数据集无关的网络钓鱼活动自7月以来一直针对X用户。诈骗者发送的电子邮件几乎复制了X真实的“新设备登录”提醒——相同的标志、相同的颜色、正确的语法——要求收件人点击链接以保护其账户，《卫报》报道。这些链接指向旨在窃取密码或授权恶意应用的虚假页面，而且该活动根本不需要任何数据泄露就能运作。

一些X用户表示，他们在同一时间也看到Proton电子邮件服务上出现了未经请求的重置活动。Proton确认了中断，并正在处理该问题。

无论是 Proton 还是任何安全研究人员都尚未确认两者之间存在关联，但如果您使用该邮箱作为 X 账户的注册邮箱，这一点仍然很重要。

如何应对

X 自己的帮助文档确认，对于被标记为已泄露或成为钓鱼攻击目标的账户，X 会主动重置密码，并向账户的注册邮箱发送包含操作说明的邮件。如果您没有主动请求却收到了这样的邮件，那么很可能已经有人尝试过您的凭据，或者您已成为钓鱼邮件的目标。

在点击任何内容之前，请先检查发件人地址。X 表示，他们只会从 @X.com 或 @e.X.com 发送邮件，并且绝不会通过电子邮件索要密码。此外，请将双重身份验证切换为使用身份验证器应用，为 X 账户设置一个独一无二的密码，并检查账户的活跃会话和已连接应用，看是否有任何不熟悉的内容。

一件重要的事情是，在 X 配置的“安全和账户访问”选项中勾选“密码重置保护”复选框。这将增加一层额外的安全保护，在发送密码重置请求之前，会提示验证关联的电子邮件地址。

如果 Proton 是您 X 账户关联的收件箱，还有一点值得了解：Proton 的状态页面报告了 9 月 1 日的服务中断，将其归因于前一周过热事件遗留的硬件故障，以及工程师在增加额外基础设施期间导致的容量减少。这与 X 的活动无关，但如果您需要接收重置邮件，可能会延迟邮件的送达。

当研究人员关闭四月份那个僵尸网络的控制面板时，它已确认在 480 万次尝试中有 138 个账户被入侵——虽然比例不到百分之一，但行业研究人员估计，全球每月约有 260 亿次凭据填充攻击尝试登录页面，这个数字乘以这个比例，后果不容小觑。