मंगलवार को X अकाउंट्स पर ऐसे पासवर्ड रीसेट ईमेल आए, जिनकी किसी ने रिक्वेस्ट नहीं की थी। एक यूज़र के इनबॉक्स में तीन मिनट में आठ ईमेल मिले। X का कहना है कि उसे कोई ब्रीच नहीं मिला है।
ये ईमेल असली हैं, X की ओर से भेजे गए हैं, फेक सेंडर से नहीं। अटैकर X का खुद का रिकवरी फॉर्म बार-बार पब्लिक यूज़रनेम्स पर ट्रिगर कर रहे हैं।
नवीनतम क्रिप्टो न्यूज़ सबसे पहले पाने के लिए X पर हमें फॉलो करें
X पर बड़ा हैक अटेम्प्ट
X ने प्रोडक्ट इंजीनियर Mridul Singhai के जरिए जवाब दिया। उन्होंने मोटिव समझाया, ब्रीच से इनकार किया और माफी मांगी।
ऐसा लगता है कि अटैकर मान रहे हैं कि अब XMoney वाइडली उपलब्ध है, तो वे अकाउंट्स तक अनऑथराइज़्ड एक्सेस पा सकते हैं। हम इस मामले की एक्टिव जांच कर रहे हैं और फिलहाल कोई ब्रीच का सबूत नहीं मिला है। हम कई ईमेल्स के लिए माफ़ी चाहते हैं और आपकी पेशेंस की सराहना करते हैं…,” Singhai ने लिखा।
कंपनी की तरफ से इसी पर ही पब्लिक जवाब आया है। X का मेन अकाउंट, X Support और X Money ने इस पर कुछ नहीं कहा।
मोटिव कैलेंडर से मेल खाता है। X Money ने जून के अंत में US के प्रीमियम सब्सक्राइबर्स के लिए पियर-टू-पियर पेमेंट्स शुरू किया। डिपॉजिट्स Cross River Bank में रखे हैं, जिनपर $10 मिलियन तक की फेडरल इंश्योरेंस है।
अब X लॉगिन एक बैंक लॉगिन जैसा हो गया है। इससे पूरा समीकरण बदल जाता है। अगर कोई प्रोफाइल चोरी हो जाए, तो वह फेक टोकन प्रमोट कर सकती है। चोरी हुए वॉलेट को भी खाली किया जा सकता है।
कोई डेटा लीक कन्फर्म नहीं हुआ है। ऐसे अटैक अक्सर पुराने ईमेल लिस्ट्स पर चलते हैं, जो वर्षों से क्रिमिनल मार्केट्स में सर्कुलेट हो रहे होते हैं।
X यूज़र्स रीसेट स्पैम से कैसे बचें?
X का रिकवरी फॉर्म सिर्फ यूज़रनेम से एक्सेप्ट करता है। यूज़रनेम पब्लिक होते हैं। यही इसका पूरा रास्ता है।
इसका सॉल्यूशन पहले से मौजूद है: X की हेल्प पेजेज़ किसी को भी जिसे ये “अनचाहे” रीसेट ईमेल मिलें, उन्हें Password reset protection ऑन करने को कहती है। इसके बाद फॉर्म पहले रजिस्टर्ड ईमेल या फोन नंबर मांगता है।
Nikita Bier, जो पहले X में हेड ऑफ प्रोडक्ट रहे हैं, उन्होंने मंगलवार को यही टॉगल शेयर किया। उनकी स्क्रीनशॉट को दोपहर तक 85,000 से ज्यादा व्यूज मिल चुके थे।
“बस इसे ऑन कर दो,” Bier ने बताया।
दो और लेयर मदद करती हैं:
- टेक्स्ट मैसेज के बजाय, ऑथेंटिकेटर ऐप का इस्तेमाल करें और पासकी जोड़ें, जिससे लॉगिन आपके डिवाइस से लिंक हो जाता है।
- ईमेल्स को न छुएं, क्योंकि नकली 2FA prompts पहले भी क्रिप्टो वॉलेट्स से पैसे निकाल चुके हैं।
X पहले भी ऐसी स्थिति में रहा है, हालांकि तब अंदर से हमला हुआ था। जुलाई 2020 में, अटैकर्स ने स्टाफ से बातचीत कर इंटरनल एडमिन टूल तक पहुंच बना ली थी। उन्होंने कंफर्मेशन ईमेल बदल दिए और 130 अकाउंट्स का फोर्स रीसेट किया, जिसमें $118,000 के Bitcoin भी लिए गए थे।
इस बार अटैकर्स बाहर से पब्लिक फॉर्म का इस्तेमाल कर रहे हैं। टारगेट वही है। साथ ही, X अकाउंट सिक्योर करने की सलाह भी वही है।
क्या X इस फॉर्म पर खुद रेट-लिमिट लगाएगा या यूजर्स पर छोड़ देगा, यह अब भी साफ नहीं है।
