Un utilisateur de X reçoit soudainement une avalanche d’e-mails de réinitialisation de mot de passe ; l’entreprise affirme que son système n’a pas été piraté.

Le 1er septembre, la plateforme sociale X a été frappée par une vague massive d’e-mails de « réinitialisation du mot de passe ». De nombreux utilisateurs ont reçu des e-mails officiels de confirmation de réinitialisation sans en avoir fait la demande ; certains en ont reçu jusqu’à 10 en l’espace de quelques minutes. L’ingénieur de X, Mridul Singhai, a déclaré que l’entreprise enquêtait activement et qu’aucune preuve d’intrusion dans ses systèmes n’avait été découverte à ce stade. X a présenté ses excuses.

Vague massive d’e-mails de réinitialisation du mot de passe sur X

L’incident s’est rapidement propagé sur les réseaux sociaux le 1er septembre 2026, touchant également des professionnels du secteur des cryptomonnaies. Star, fondateur de Day1Global Podcast, a déclaré avoir reçu 10 e-mails de réinitialisation du mot de passe X à la suite, craignant que son compte ne fasse l’objet d’une attaque par verrouillage. Hsu Ming-en, fondateur de BlockTrend, a partagé une capture d’écran de sa boîte de réception Gmail montrant plusieurs « demandes de réinitialisation du mot de passe » provenant de X et reçues successivement en peu de temps. Ces e-mails ont bien été envoyés par le système officiel de X et ne sont pas des e-mails d’hameçonnage usurpés provenant de l’extérieur. Toutefois, leur réception ne signifie pas que le compte a été compromis et ne prouve pas non plus que des attaquants ont obtenu l’adresse e-mail de l’utilisateur.

Cause fondamentale : le processus de récupération du mot de passe de X permet de déclencher une réinitialisation avec un nom de compte public

Le processus de récupération du mot de passe de X permet à l’utilisateur de saisir une adresse e-mail, un numéro de téléphone ou un nom d’utilisateur X public pour demander une réinitialisation. Le système envoie ensuite les informations nécessaires à la réinitialisation à l’adresse e-mail associée au compte. Comme les noms d’utilisateur X sont des informations publiques, les attaquants peuvent collecter un grand nombre de noms de compte, puis envoyer des demandes de réinitialisation en masse via la fonction officielle de récupération du mot de passe. Lorsque le système de X reçoit ces demandes, il envoie automatiquement les véritables e-mails de réinitialisation aux titulaires des comptes. Il suffit donc aux attaquants de connaître le nom public d’un compte X pour déclencher le processus concerné, sans avoir besoin de connaître l’adresse e-mail de l’utilisateur. Pour modifier le mot de passe, il faut toutefois toujours obtenir l’adresse e-mail ou le numéro de téléphone associé au compte, ou d’autres informations de vérification. Cette vague massive d’e-mails s’apparente pour l’instant davantage à un usage abusif à grande échelle du mécanisme de récupération du mot de passe, et rien ne prouve encore que la base de données ou les systèmes internes de X aient été compromis.

Ingénieur de X : aucun système compromis

L’ingénieur de X, Mridul Singhai, a déclaré que l’entreprise enquêtait activement sur l’incident et qu’aucune preuve d’intrusion dans ses systèmes n’avait été découverte à ce stade. X a également présenté ses excuses pour les désagréments causés par l’envoi massif d’e-mails de réinitialisation du mot de passe. Singhai a ajouté qu’avec le déploiement à grande échelle des services financiers de X Money, les attaquants pourraient penser qu’obtenir un accès non autorisé à des comptes X leur permettrait de réaliser des gains financiers plus importants et commenceraient donc à tenter activement de prendre le contrôle de comptes d’utilisateurs.

Cette hypothèse suscite une attention particulière au sein de la communauté des cryptomonnaies : X est l’une des plateformes sociales les plus importantes du secteur, et les comptes à forte influence présentent déjà une valeur élevée pour les attaquants. L’ajout de fonctions financières telles que les paiements et les transferts pourrait encore accroître les pertes potentielles liées à la prise de contrôle de comptes. Le lien direct entre cet incident et la fuite de données de 200 millions de comptes provoquée par une vulnérabilité de l’API de Twitter par le passé ne peut pour l’instant pas être confirmé.

Recommandation officielle : activer la « protection contre la réinitialisation du mot de passe » afin de réduire le risque d’utilisation abusive des noms de compte publics

Pour se protéger contre cet incident, les utilisateurs peuvent prendre les mesures suivantes :

· Accéder à « Paramètres » → « Sécurité » sur X et activer la « protection contre la réinitialisation du mot de passe » (Password Reset Protect) : une fois cette fonction activée, le système demande au demandeur de saisir également l’adresse e-mail ou le numéro de téléphone associé au compte, ce qui rend plus difficile le déclenchement d’une réinitialisation par des personnes extérieures à l’aide d’un nom d’utilisateur public

· Utiliser un mot de passe unique et robuste, en évitant de réutiliser le même mot de passe sur d’autres sites

· Activer l’authentification à deux facteurs (2FA) afin d’ajouter une couche de vérification supplémentaire

· Vérifier les sessions actuellement ouvertes sur le compte ainsi que les applications tierces connectées, afin de détecter tout appareil inconnu ou toute autorisation inhabituelle

· À la réception d’un e-mail connexe, éviter de cliquer directement sur des liens dont l’origine ne peut pas être confirmée ; avant de saisir son identifiant et son mot de passe, vérifier que l’adresse du site se trouve sur x.com

Questions fréquentes

Le fait qu’un utilisateur de X reçoive soudainement un e-mail de réinitialisation du mot de passe signifie-t-il que son compte a été compromis ?

D’après les explications de l’ingénieur de X, Mridul Singhai, aucune preuve d’intrusion dans un système n’a été découverte à ce stade. Ces e-mails ont bien été envoyés par le système de X. La cause tient au fait que le mécanisme de récupération du mot de passe permet de déclencher une demande de réinitialisation avec un nom de compte public, de sorte que les attaquants peuvent déclencher le processus en masse sans connaître l’adresse e-mail de l’utilisateur.

Pourquoi les attaquants peuvent-ils déclencher un grand nombre d’e-mails de réinitialisation du mot de passe ?

Le processus de récupération du mot de passe de X permet à l’utilisateur de saisir une adresse e-mail, un numéro de téléphone ou un nom d’utilisateur X public pour lancer une demande de réinitialisation. Comme les noms d’utilisateur sont des informations publiques, les attaquants peuvent collecter un grand nombre de noms de compte et envoyer des demandes en masse ; le système de X envoie alors automatiquement les e-mails de réinitialisation aux titulaires des comptes.

Après avoir reçu un e-mail de réinitialisation du mot de passe, quelle est la mesure de protection la plus importante ?

X recommande officiellement d’activer la fonction « protection contre la réinitialisation du mot de passe ». Une fois cette fonction activée, le système demande au demandeur de saisir également l’adresse e-mail ou le numéro de téléphone associé au compte, ce qui rend beaucoup plus difficile le déclenchement d’une réinitialisation par des personnes extérieures à l’aide d’un nom de compte public. Il est également recommandé d’activer la 2FA et de vérifier les sessions ouvertes ainsi que les autorisations accordées à des applications tierces.