X-Konten wurden am Dienstag von Passwortzurücksetzungs-E-Mails getroffen, um die niemand gebeten hat. Der Posteingang eines Nutzers zeigt acht E-Mails, die innerhalb von drei Minuten eingegangen sind. X sagt, dass es keinen Verstoß gefunden hat.
Die E-Mails sind echt, stammen von X selbst und nicht von gefälschten Absendern. Angreifer richten Xs eigenes Wiederherstellungsformular immer wieder auf öffentliche Benutzernamen.
Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
Großer Hackerangriff auf X
X antwortete über Mridul Singhai, einen Produktingenieur des Unternehmens. Er nannte ein Motiv, bestritt einen Verstoß und entschuldigte sich.
Angreifer scheinen zu glauben, dass sie, da XMoney jetzt weit verbreitet ist, unbefugten Zugriff auf Konten erlangen können. Wir untersuchen das Problem aktiv und haben bisher keine Beweise für irgendwelche Verstöße gefunden. Wir entschuldigen uns für die mehrfachen E-Mails und schätzen Ihre Geduld…”, schrieb Singhai.
Das war das einzige Wort des Unternehmens dazu. Der Haupt-X-Account, X Support und X Money blieben alle still.
Das Motiv passt zum Kalender. X Money begann Ende Juni mit Peer-to-Peer-Zahlungen für US-Premium-Abonnenten. Einlagen liegen bei der Cross River Bank, mit einer bundesstaatlichen Versicherung von bis zu 10 Millionen Dollar.
Ein X-Login ist jetzt also auch ein Bank-Login. Das ändert die Mathematik. Ein gestohlenes Profil kann ein gefälschtes Token fördern. Eine gestohlene Brieftasche kann geleert werden.
Es wurde kein Leak bestätigt. Angriffe wie dieser laufen normalerweise mit alten E-Mail-Listen, die seit Jahren auf kriminellen Märkten zirkulieren.
Wie X-Nutzer den Reset-Spam stoppen können
Das Wiederherstellungsformular von X akzeptiert einen Benutzernamen allein. Benutzernamen sind öffentlich. Das ist die ganze Eröffnung.
Die Lösung existiert bereits: Die Hilfeseiten von X sagen jedem, der Rücksetzungen erhält, die sie „nicht angefordert“ haben, dass er den Passwortzurücksetzschutz aktivieren soll. Das Formular verlangt dann zuerst die E-Mail oder Telefonnummer, die im System gespeichert ist.
Nikita Bier, ehemaliger Produktleiter bei X, postete den Schalter am Dienstag. Sein Screenshot hatte bis zum Nachmittag über 85.000 Aufrufe.
„Schalte das einfach ein“, bemerkte Bier.
Zwei weitere Schichten helfen:
- Verwende eine Authentifizierungs-App anstelle von Textnachrichten und füge einen Sicherheitsschlüssel hinzu, der die Anmeldung an dein Gerät bindet.
- Lass die E-Mails in Ruhe, denn gefälschte 2FA-Aufforderungen haben zuvor Krypto-Wallets geleert.
X war schon einmal hier, wenn auch von innen. Im Juli 2020 haben Angreifer sich an Mitarbeitern vorbeigeschlichen und ein internes Administrationswerkzeug erreicht. Sie tauschten Bestätigungs-E-Mails aus und zwangen Rücksetzungen bei 130 Konten, wobei sie 118.000 Dollar in Bitcoin entnahmen.
Diesmal sind die Angreifer außenstehend und nutzen ein öffentliches Formular. Das Ziel hat sich nicht geändert. Auch der Rat zur Absicherung von X-Konten hat sich nicht geändert.
Ob X das Formular limitiert oder dies den Nutzern überlässt, ist noch offen.
Quelle: BeInCrypto
