Người dùng X bất ngờ nhận hàng loạt email yêu cầu đặt lại mật khẩu; nền tảng khẳng định hệ thống không bị xâm nhập

Nền tảng mạng xã hội X đã xảy ra sự cố email “đặt lại mật khẩu” trên quy mô lớn vào ngày 1 tháng 9, khi nhiều người dùng nhận được email xác minh đặt lại mật khẩu do hệ thống chính thức gửi dù không chủ động yêu cầu; một số người dùng liên tiếp nhận tới 10 email chỉ trong vài phút. Kỹ sư X Mridul Singhai cho biết công ty đang tích cực điều tra và đến nay chưa phát hiện bằng chứng nào cho thấy bất kỳ hệ thống nào bị xâm nhập. X cũng đã xin lỗi về sự việc.

Email đặt lại mật khẩu X lan rộng

Sự việc nhanh chóng lan rộng trên mạng xã hội vào ngày 1 tháng 9 năm 2026, trong đó nhiều nhân vật trong ngành tiền mã hóa cũng bị ảnh hưởng. Nhà sáng lập Day1Global Podcast Star cho biết mình liên tiếp nhận được 10 email đặt lại mật khẩu X và lo ngại tài khoản có bị tấn công hay không; nhà sáng lập Blocktrend Hứa Minh Ân thì chia sẻ ảnh chụp hộp thư Gmail, cho thấy trong thời gian ngắn liên tiếp xuất hiện nhiều email “yêu cầu đặt lại mật khẩu” từ X. Những email này thực sự được gửi bởi hệ thống chính thức của X, không phải email lừa đảo giả mạo từ bên ngoài. Tuy nhiên, việc nhận được email không đồng nghĩa tài khoản đã bị xâm nhập, cũng không thể chứng minh kẻ tấn công đã biết địa chỉ email của người dùng.

Nguyên nhân cốt lõi: Quy trình khôi phục mật khẩu X cho phép tên tài khoản công khai kích hoạt việc đặt lại

Quy trình khôi phục mật khẩu của X cho phép người dùng nhập email, số điện thoại hoặc tên người dùng X công khai để yêu cầu đặt lại mật khẩu. Sau đó, hệ thống sẽ gửi thông tin đặt lại đến địa chỉ email liên kết với tài khoản. Do tên người dùng X vốn là thông tin công khai, kẻ tấn công có thể thu thập một lượng lớn tên tài khoản, sau đó sử dụng tính năng khôi phục mật khẩu chính thức để gửi hàng loạt yêu cầu đặt lại. Khi hệ thống X nhận được yêu cầu, hệ thống sẽ tự động gửi email đặt lại mật khẩu thực sự cho chủ tài khoản. Điều này có nghĩa là kẻ tấn công chỉ cần biết tên tài khoản X công khai là đủ để kích hoạt quy trình liên quan, không cần biết địa chỉ email của người dùng. Tuy nhiên, để hoàn tất việc thay đổi mật khẩu, vẫn cần có email, số điện thoại liên kết với tài khoản hoặc thông tin xác minh khác. Hiện tại, tính chất của đợt email hàng loạt này gần với việc lạm dụng trên quy mô lớn cơ chế khôi phục mật khẩu hơn; chưa có bằng chứng cho thấy cơ sở dữ liệu hoặc hệ thống nội bộ của X đã bị xâm nhập.

Kỹ sư X: Hệ thống không bị xâm nhập

Kỹ sư X Mridul Singhai cho biết công ty đang tích cực điều tra sự việc và đến nay chưa phát hiện bằng chứng nào cho thấy bất kỳ hệ thống nào bị xâm nhập. X cũng xin lỗi vì những phiền toái do lượng lớn email đặt lại mật khẩu gây ra. Singhai cũng chỉ ra rằng khi các dịch vụ tài chính X Money được mở rộng, kẻ tấn công có thể cho rằng việc giành quyền truy cập trái phép vào tài khoản X sẽ mang lại lợi ích kinh tế lớn hơn, từ đó bắt đầu tích cực tìm cách chiếm quyền kiểm soát tài khoản người dùng.

Giả thuyết này khiến cộng đồng tiền mã hóa đặc biệt quan tâm — X là một trong những nền tảng mạng xã hội quan trọng nhất của ngành tiền mã hóa, còn bản thân các tài khoản có tầm ảnh hưởng lớn đã có giá trị cao đối với kẻ tấn công. Sau khi được bổ sung các tính năng tài chính như thanh toán và chuyển tiền, tổn thất tiềm ẩn do tài khoản bị chiếm quyền kiểm soát sẽ tiếp tục gia tăng. Hiện vẫn chưa thể xác nhận mối liên hệ trực tiếp giữa sự việc lần này và vụ rò rỉ dữ liệu 200 triệu tài khoản do lỗ hổng API trước đây của Twitter gây ra.

Khuyến nghị chính thức: Bật “Bảo vệ đặt lại mật khẩu” để giảm nguy cơ tên tài khoản công khai bị lạm dụng

Để ứng phó với sự việc này, người dùng có thể áp dụng các biện pháp bảo vệ sau:

· Vào X, chọn “Cài đặt” → “Bảo mật” để bật “Bảo vệ đặt lại mật khẩu” (Password Reset Protect). Sau khi kích hoạt, hệ thống sẽ yêu cầu người gửi yêu cầu nhập thêm địa chỉ email hoặc số điện thoại liên kết với tài khoản, qua đó tăng độ khó cho người bên ngoài muốn lợi dụng tên người dùng công khai để kích hoạt việc đặt lại mật khẩu.

· Sử dụng mật khẩu riêng biệt và có độ bảo mật cao, tránh dùng chung một mật khẩu với các website khác.

· Bật xác thực hai yếu tố (2FA) để bổ sung thêm một lớp xác minh.

· Kiểm tra các phiên đăng nhập hiện tại của tài khoản và các ứng dụng bên thứ ba đã kết nối, xác nhận không có thiết bị lạ hoặc quyền truy cập bất thường.

· Khi nhận được email liên quan, tránh nhấp trực tiếp vào các liên kết nếu không thể xác nhận nguồn gốc; trước khi nhập tên tài khoản và mật khẩu, hãy xác nhận địa chỉ website là x.com.

Câu hỏi thường gặp

Người dùng X đột nhiên nhận được email đặt lại mật khẩu, điều đó có nghĩa tài khoản đã bị xâm nhập không?

Theo giải thích của kỹ sư X Mridul Singhai, đến nay chưa phát hiện bằng chứng nào cho thấy bất kỳ hệ thống nào bị xâm nhập; những email này thực sự được gửi bởi hệ thống X. Nguyên nhân nằm ở việc cơ chế khôi phục mật khẩu cho phép tên tài khoản công khai kích hoạt yêu cầu đặt lại, do đó kẻ tấn công không cần biết địa chỉ email của người dùng vẫn có thể kích hoạt quy trình hàng loạt.

Vì sao kẻ tấn công có thể kích hoạt hàng loạt email đặt lại mật khẩu?

Quy trình khôi phục mật khẩu của X cho phép người dùng nhập email, số điện thoại hoặc tên người dùng X công khai để gửi yêu cầu đặt lại. Vì tên người dùng là thông tin công khai, kẻ tấn công có thể thu thập một lượng lớn tên tài khoản và gửi yêu cầu hàng loạt, sau đó hệ thống X sẽ tự động gửi email đặt lại mật khẩu cho chủ tài khoản.

Sau khi nhận được email đặt lại mật khẩu, biện pháp bảo vệ quan trọng nhất là gì?

X chính thức khuyến nghị bật tính năng “Bảo vệ đặt lại mật khẩu”. Sau khi kích hoạt, hệ thống sẽ yêu cầu người gửi yêu cầu nhập thêm địa chỉ email hoặc số điện thoại liên kết với tài khoản, qua đó tăng đáng kể độ khó cho người bên ngoài muốn lợi dụng tên tài khoản công khai để kích hoạt việc đặt lại. X đồng thời khuyến nghị bật 2FA và kiểm tra các phiên đăng nhập cũng như quyền truy cập được cấp cho bên thứ ba của tài khoản.