Користувачі X раптово отримали численні листи із запитами на скидання пароля; офіційні представники заявили, що систему не було зламано

1 вересня на соціальній платформі X стався масштабний інцидент із листами про «скидання пароля»: велика кількість користувачів отримала офіційні листи з підтвердженням скидання пароля, хоча не подавала відповідних запитів; деякі користувачі за лічені хвилини отримали до 10 листів поспіль. Інженер X Mridul Singhai заявив, що компанія активно розслідує інцидент, але наразі не виявила жодних доказів злому систем. X перепросила за це.

Масове надсилання листів про скидання пароля X

Інцидент швидко набув розголосу в соцмережах 1 вересня 2026 року, торкнувшись також представників криптовалютної індустрії. Засновник Day1Global Podcast Star повідомив, що отримав 10 листів від X про скидання пароля поспіль, і занепокоївся, чи не став його обліковий запис мішенню атаки на блокування; засновник 区块势 Сюй Мін'ень опублікував скриншот вхідних листів Gmail, на якому видно, що за короткий час надійшло багато листів від X із «запитом на скидання пароля». Ці листи справді були надіслані офіційною системою X, а не були підробленими фішинговими листами, однак сам факт отримання такого листа не означає, що обліковий запис зламали, і не доводить, що зловмисники отримали електронну адресу користувача.

Першопричина: процес відновлення пароля X дає змогу ініціювати скидання за відкритим іменем облікового запису

Процес відновлення пароля X дає змогу користувачам ввести адресу електронної пошти, номер телефону або публічне ім'я користувача X, щоб подати запит на скидання пароля, після чого система надсилає інформацію для скидання на електронну адресу, прив'язану до облікового запису. Оскільки ім'я користувача X є відкритою інформацією, зловмисники можуть зібрати велику кількість імен облікових записів і через офіційну функцію відновлення пароля масово надсилати запити на скидання. Після отримання таких запитів система X автоматично надсилає справжні листи про скидання власникам облікових записів. Це означає, що зловмисникам достатньо знати публічне ім'я облікового запису X, щоб ініціювати відповідний процес, і їм не потрібно знати електронну адресу користувача. Для завершення зміни пароля все одно потрібно отримати доступ до електронної адреси, номера телефону або іншої прив'язаної до облікового запису інформації для перевірки. Наразі характер цієї хвилі масових листів більше схожий на масштабне зловживання механізмом відновлення пароля, і немає доказів злому бази даних або внутрішніх систем X.

Інженер X: систему не було зламано

Інженер X Mridul Singhai заявив, що компанія активно розслідує цей інцидент, але наразі не виявила жодних доказів злому систем. X також перепросила за незручності, спричинені масовим надсиланням листів про скидання пароля. Singhai також зазначив, що після широкого запуску фінансових сервісів X Money зловмисники могли вирішити, що отримання несанкціонованого доступу до облікових записів X дасть змогу отримати більшу економічну вигоду, і тому почали активніше намагатися захоплювати облікові записи користувачів.

Це припущення привернуло особливу увагу криптовалютної спільноти — X є однією з найважливіших соціальних платформ криптоіндустрії, а впливові облікові записи самі по собі мають значну цінність як цілі атак. Після додавання фінансових функцій, зокрема платежів і переказів, потенційні збитки від захоплення облікових записів можуть ще більше зрости. Прямий зв'язок цього інциденту з минулим витоком 200 мільйонів записів облікових записів у Twitter через вразливість API наразі підтвердити неможливо.

Рекомендація офіційних представників: увімкніть «Захист скидання пароля», щоб зменшити ризик зловживання відкритим іменем облікового запису

Щоб захиститися від цього інциденту, користувачі можуть вжити таких заходів:

· Відкрийте в X «Налаштування» → «Безпека» та увімкніть «Захист скидання пароля»: після активації система вимагатиме від заявника додатково ввести адресу електронної пошти або номер телефону, прив'язані до облікового запису, що ускладнить стороннім особам ініціювання скидання за допомогою публічного імені користувача

· Використовуйте унікальний складний пароль і не застосовуйте той самий пароль на інших сайтах

· Увімкніть двофакторну автентифікацію (2FA), щоб додати додатковий рівень перевірки

· Перевірте поточні сеанси входу в обліковий запис і підключені сторонні застосунки, щоб переконатися у відсутності незнайомих пристроїв або підозрілих дозволів

· Отримавши такий лист, не натискайте безпосередньо посилання, джерело якого неможливо підтвердити; перш ніж вводити ім'я користувача та пароль, переконайтеся, що адреса належить домену x.com

Поширені запитання

Чи означає раптове отримання листа про скидання пароля X, що обліковий запис зламали?

За словами інженера X Mridul Singhai, наразі не виявлено жодних доказів злому систем; ці листи справді були надіслані системою X, а першопричина полягає в тому, що механізм відновлення пароля дає змогу ініціювати запит на скидання за публічним іменем облікового запису, тому зловмисникам не потрібно знати електронну адресу користувача, щоб масово запускати цей процес.

Чому зловмисники можуть ініціювати масове надсилання листів про скидання пароля?

Процес відновлення пароля X дає змогу користувачам ввести адресу електронної пошти, номер телефону або публічне ім'я користувача X для надсилання запиту на скидання; оскільки ім'я користувача є відкритою інформацією, зловмисники можуть зібрати велику кількість імен облікових записів і масово надсилати запити, після чого система X автоматично надсилає листи про скидання власникам облікових записів.

Який найважливіший захід захисту після отримання листа про скидання пароля?

Офіційні представники X рекомендують увімкнути функцію «Захист скидання пароля». Після її активації система вимагатиме від заявника додатково ввести адресу електронної пошти або номер телефону, прив'язані до облікового запису, що ефективно ускладнить стороннім особам ініціювання скидання за допомогою публічного імені облікового запису; водночас рекомендується увімкнути 2FA і перевірити сеанси входу в обліковий запис та дозволи, надані стороннім застосункам.