Xでは2026年9月1日、大量のパスワードリセットメールが送信されるインシデントが発生し、パスワードリセットをリクエストしていない多数のユーザーに影響が及びました。
一部のユーザーは、Xの公式システムから数分以内に最大10通のパスワードリセットメールを受信しました。これらのメールは正規のものであることが確認されています。
XのエンジニアであるMridul Singhai氏は、システムへの侵害は確認されていないと説明し、アカウントを保護するためPassword Reset Protect機能を有効にするよう推奨しました。

ソーシャルプラットフォームのXでは9月1日、大規模な「パスワードリセット」メール事象が発生し、多数のユーザーが自ら申請していないにもかかわらず、X公式から送信されたパスワードリセットメールを受け取った。一部のユーザーは、わずか数分間に最大10通ものメールを連続して受信した。XのエンジニアであるMridul Singhai氏は、同社が積極的に調査していると述べ、現時点ではシステムが侵害された証拠は見つかっていないとして、Xはこの件について謝罪した。

Xのパスワードリセットメールが大量発生

この事象は2026年9月1日、ソーシャルメディア上で急速に広がり、暗号資産業界の関係者も影響を受けた。Day1Global Podcastの創設者であるStar氏は、Xからパスワードリセットメールを10通連続で受け取り、アカウントがロックアウト攻撃を受けたのではないかと懸念していると述べた。区块勢の創設者である許明恩氏はGmailの受信トレイのスクリーンショットを共有し、短時間のうちにXからの「パスワードリセット要求」が複数表示されていることを示した。これらのメールは実際にXの公式システムから送信されたものであり、外部からのなりすましフィッシングメールではない。ただし、メールを受信したこと自体はアカウントが侵害されたことを意味せず、攻撃者がユーザーのメールアドレスを把握していることを証明するものでもない。

根本原因：Xのパスワード復旧フローでは公開ユーザー名でリセットを起動できる

Xのパスワード復旧フローでは、ユーザーがメールアドレス、電話番号、または公開されているXユーザー名を入力してパスワードリセットを申請できる。システムはその後、アカウントに紐付けられたメールアドレスへリセット情報を送信する。Xのユーザー名自体は公開情報であるため、攻撃者は大量のアカウント名を収集し、公式のパスワード復旧機能を通じてリセット要求を一括送信できる。Xのシステムが要求を受け取ると、実際のアカウント所有者へリセットメールが自動的に送信される。つまり、攻撃者は公開されているXアカウント名を知っているだけでこのフローを起動でき、ユーザーのメールアドレスを把握する必要はない。パスワードを変更するには、アカウントに紐付けられたメールアドレス、電話番号、またはその他の認証情報を入手する必要がある。現時点では、今回の大量メールはパスワード復旧機能の大規模な悪用に近い性質であり、Xのデータベースや内部システムが侵害されたことを示す証拠はない。

Xのエンジニア：システムは侵害されていない

XのエンジニアであるMridul Singhai氏は、同社が今回の事象を積極的に調査しており、現時点ではシステムが侵害された証拠は見つかっていないと述べた。また、大量のパスワードリセットメールによって生じた迷惑について、Xは謝罪した。Singhai氏はさらに、X Moneyの金融サービスが広く提供されるようになるにつれて、攻撃者はXアカウントに不正アクセスできれば、より大きな経済的利益を得られる可能性があると考え、ユーザーアカウントの支配を積極的に試み始めた可能性があると指摘した。

この推測は暗号資産コミュニティの注目を集めている——Xは暗号資産業界で最も重要なソーシャルプラットフォームの一つであり、影響力の大きいアカウント自体が非常に高い攻撃価値を持つ。決済や送金などの金融機能が加わったことで、アカウントを乗っ取られた場合に生じる損失はさらに拡大する可能性がある。今回の事象と、過去にTwitterのAPIの脆弱性によって2億件のアカウントデータが流出した事件との直接的な関連については、現時点では確認できていない。

公式の推奨：「パスワードリセット保護」を有効にして公開ユーザー名の悪用リスクを低減

今回の事象を受け、ユーザーが講じられる対策は以下のとおり。

· Xの「設定」→「セキュリティ」に移動し、「パスワードリセット保護」（Password Reset Protect）を有効にする：有効にすると、システムは申請者に対して、アカウントに紐付けられたメールアドレスまたは電話番号の追加情報の入力を求めるため、外部の人物が公開ユーザー名を利用してリセットを起動することが難しくなる

· 他のウェブサイトと同じパスワードを使い回さず、独自の強力なパスワードを使用する

· 二要素認証（2FA）を有効にし、追加の認証レイヤーを設ける

· アカウントの現在のログインセッションと接続済みのサードパーティアプリケーションを確認し、不審なデバイスや異常な認証がないか確認する

· 関連メールを受信した場合、出所を確認できないリンクを直接クリックしない。アカウントのパスワードを入力する前に、URLがx.comになっていることを確認する

よくある質問

Xユーザーが突然パスワードリセットメールを受け取った場合、アカウントが侵害されたことを意味しますか？

XのエンジニアであるMridul Singhai氏の説明によると、現時点ではシステムが侵害された証拠は見つかっていない。これらのメールは実際にXのシステムから送信されたものであり、根本原因は、パスワード復旧機能によって公開ユーザー名からリセット要求を起動できることにある。攻撃者はユーザーのメールアドレスを把握していなくても、このフローを大量に起動できる。

なぜ攻撃者は大量のパスワードリセットメールを起動できるのですか？

Xのパスワード復旧フローでは、ユーザーがメールアドレス、電話番号、または公開されているXユーザー名を入力してリセット要求を開始できる。ユーザー名は公開情報であるため、攻撃者は大量のアカウント名を収集して要求を一括送信でき、Xのシステムはアカウント所有者へリセットメールを自動的に送信する。

パスワードリセットメールを受け取った後、最も重要な対策は何ですか？

X公式は「パスワードリセット保護」機能を有効にすることを推奨している。有効にすると、システムは申請者に対して、アカウントに紐付けられたメールアドレスまたは電話番号の追加情報の入力を求めるため、外部の人物が公開ユーザー名を利用してリセットを起動することが難しくなる。また、2FAを有効にし、アカウントのログインセッションとサードパーティアプリケーションによるアクセスを確認することも推奨される。

免責事項：本ページの情報には第三者提供の内容が含まれる場合があり、参考目的のみで提供されています。これらはGateの見解や意見を示すものではなく、金融、投資、または法律上の助言を構成するものでもありません。暗号資産取引には高いリスクが伴います。意思決定を行う際には、本ページの情報のみに依存しないでください。詳細については、免責事項をご確認ください。