تلقى مستخدمو X بشكل مفاجئ عددًا كبيرًا من رسائل إعادة تعيين كلمات المرور، فيما أكدت الشركة أن نظامها لم يتعرض للاختراق.

شهدت منصة التواصل الاجتماعي X في 1 سبتمبر حادثة واسعة النطاق تمثلت في إرسال رسائل «إعادة تعيين كلمة المرور». فقد تلقى عدد كبير من المستخدمين رسائل تحقق رسمية لإعادة تعيين كلمات المرور من دون أن يطلبوا ذلك، فيما تلقى بعضهم ما يصل إلى 10 رسائل خلال دقائق معدودة. وقال مهندس X، Mridul Singhai، إن الشركة تحقق في الأمر بنشاط، مؤكداً أنها لم تجد حتى الآن أي دليل على اختراق أي من أنظمتها، فيما اعتذرت X عن الحادثة.

تفاقم حادثة رسائل إعادة تعيين كلمة المرور في X

انتشرت الحادثة بسرعة على منصات التواصل في 1 سبتمبر 2026، وطالت أيضاً شخصيات في قطاع العملات المشفرة. وقال Star، مؤسس Day1Global Podcast، إنه تلقى 10 رسائل متتالية من X لإعادة تعيين كلمة المرور، ما أثار مخاوفه من تعرض حسابه لهجوم إقفال. كما شارك شو مينغ-إن، مؤسس BlockTempo، لقطة شاشة من صندوق وارد Gmail تُظهر ظهور عدة رسائل متتالية من X خلال فترة قصيرة، تحت عنوان «طلب إعادة تعيين كلمة المرور». وكانت هذه الرسائل مرسلة فعلاً من نظام X الرسمي، وليست رسائل تصيد احتيالي مزيفة من جهات خارجية. لكن تلقي الرسالة بحد ذاته لا يعني أن الحساب قد اختُرق، ولا يثبت أن المهاجمين تمكنوا من معرفة عناوين البريد الإلكتروني للمستخدمين.

السبب الجذري: آلية استعادة كلمة المرور في X تسمح بتفعيل إعادة التعيين باستخدام اسم الحساب العام

تتيح آلية استعادة كلمة المرور في X للمستخدم إدخال عنوان البريد الإلكتروني أو رقم الهاتف أو اسم مستخدم X العام لطلب إعادة تعيين كلمة المرور، ثم يرسل النظام معلومات إعادة التعيين إلى عنوان البريد الإلكتروني المرتبط بالحساب. وبما أن اسم مستخدم X يمثل معلومة عامة، يمكن للمهاجمين جمع عدد كبير من أسماء الحسابات وإرسال طلبات إعادة التعيين بالجملة عبر وظيفة استعادة كلمة المرور الرسمية. وعند تلقي X هذه الطلبات، يرسل النظام تلقائياً رسائل إعادة التعيين الفعلية إلى أصحاب الحسابات.

وهذا يعني أن المهاجم لا يحتاج سوى إلى معرفة اسم حساب X العام لتفعيل العملية، من دون الحاجة إلى معرفة عنوان البريد الإلكتروني للمستخدم. ومع ذلك، يتطلب إكمال تغيير كلمة المرور الوصول إلى البريد الإلكتروني أو رقم الهاتف المرتبط بالحساب، أو إلى معلومات تحقق أخرى. وتبدو طبيعة هذه الموجة من الرسائل أقرب إلى إساءة استخدام واسعة النطاق لآلية استعادة كلمة المرور، ولا يوجد حتى الآن دليل على اختراق قاعدة بيانات X أو أنظمتها الداخلية.

مهندس X: النظام لم يتعرض للاختراق

قال مهندس X، Mridul Singhai، إن الشركة تحقق في الحادثة بنشاط، وإنها لم تجد حتى الآن أي دليل على اختراق أي من أنظمتها. كما اعتذرت X عن الإزعاج الناجم عن الكم الكبير من رسائل إعادة تعيين كلمة المرور. وأضاف Singhai أن إتاحة الخدمات المالية في X Money على نطاق واسع قد تدفع المهاجمين إلى الاعتقاد بأن الوصول غير المصرح به إلى حسابات X سيتيح لهم تحقيق مكاسب اقتصادية أكبر، ولذلك بدأوا محاولات مكثفة للسيطرة على حسابات المستخدمين.

وقد أثار هذا الاستنتاج اهتماماً خاصاً لدى مجتمع العملات المشفرة، إذ تُعد X إحدى أهم منصات التواصل في قطاع العملات المشفرة، وتمثل الحسابات ذات التأثير الكبير أهدافاً عالية القيمة بحد ذاتها. ومع إضافة وظائف مالية مثل المدفوعات والتحويلات، قد تزداد الخسائر المحتملة الناجمة عن الاستيلاء على الحسابات. ولا يزال من غير الممكن تأكيد وجود صلة مباشرة بين هذه الحادثة وحادثة تسريب بيانات 200 مليون حساب الناتجة عن ثغرة سابقة في واجهة برمجة تطبيقات Twitter.

التوصية الرسمية: تفعيل «حماية إعادة تعيين كلمة المرور» للحد من خطر إساءة استخدام أسماء الحسابات العامة

يمكن للمستخدمين اتخاذ إجراءات الحماية التالية لمواجهة هذه الحادثة:

· الانتقال إلى «الإعدادات» ← «الأمان» في X وتفعيل «حماية إعادة تعيين كلمة المرور». بعد تفعيلها، يطلب النظام من مقدم الطلب إدخال عنوان البريد الإلكتروني أو رقم الهاتف المرتبط بالحساب، ما يصعّب على الجهات الخارجية استغلال اسم المستخدم العام لتفعيل إعادة التعيين.

· استخدام كلمة مرور قوية ومستقلة، وتجنب استخدام كلمة المرور نفسها في مواقع أخرى.

· تفعيل المصادقة الثنائية (2FA) لإضافة طبقة تحقق إضافية.

· مراجعة جلسات تسجيل الدخول الحالية إلى الحساب، وتطبيقات الجهات الخارجية المتصلة به، للتأكد من عدم وجود أجهزة غير معروفة أو أذونات غير مألوفة.

· عند تلقي رسائل ذات صلة، تجنب النقر مباشرة على الروابط التي يتعذر التحقق من مصدرها، والتأكد من أن عنوان الموقع هو x.com قبل إدخال اسم الحساب وكلمة المرور.

الأسئلة الشائعة

هل يعني تلقي مستخدم X رسالة مفاجئة لإعادة تعيين كلمة المرور أن الحساب قد اختُرق؟

وفقاً لتوضيح مهندس X، Mridul Singhai، لم يُعثر حتى الآن على أي دليل على اختراق أي من الأنظمة. وقد أُرسلت هذه الرسائل فعلاً من نظام X، ويعود سببها إلى أن آلية استعادة كلمة المرور تسمح بتفعيل طلبات إعادة التعيين باستخدام أسماء الحسابات العامة، ما يتيح للمهاجمين تفعيل العملية على نطاق واسع من دون الحاجة إلى معرفة عناوين البريد الإلكتروني للمستخدمين.

لماذا يستطيع المهاجمون تفعيل عدد كبير من رسائل إعادة تعيين كلمة المرور؟

تتيح آلية استعادة كلمة المرور في X للمستخدم إدخال عنوان البريد الإلكتروني أو رقم الهاتف أو اسم مستخدم X العام لبدء طلب إعادة التعيين. وبما أن أسماء المستخدمين معلومات عامة، يستطيع المهاجمون جمع عدد كبير من أسماء الحسابات وإرسال الطلبات بالجملة، فيرسل نظام X تلقائياً رسائل إعادة التعيين إلى أصحاب الحسابات.

ما أهم إجراء للحماية بعد تلقي رسالة إعادة تعيين كلمة المرور؟

توصي X رسمياً بتفعيل وظيفة «حماية إعادة تعيين كلمة المرور». وبعد تفعيلها، يطلب النظام من مقدم الطلب إدخال عنوان البريد الإلكتروني أو رقم الهاتف المرتبط بالحساب، ما يزيد بفاعلية صعوبة استغلال الجهات الخارجية لاسم الحساب العام لتفعيل إعادة التعيين. كما يُنصح بتفعيل 2FA ومراجعة جلسات تسجيل الدخول إلى الحساب وأذونات الجهات الخارجية.