Bekommen Sie X-Passwort-Zurücksetzen-Mails, die Sie nie angefordert haben? Fassen Sie sie nicht an
Wenn sich Ihr Postfach diese Woche mit "Setzen Sie Ihr X-Passwort zurück"-Nachrichten gefüllt hat, waren Sie nicht allein und wurden nicht gehackt. Ab dem 1. September meldeten Nutzer von X, dem früheren Twitter, nicht angeforderte Zurücksetz-Mails und -Codes, einer nach dem anderen. X-Produktingenieur Mridul Singhai sagte es unverblümt: "Angreifer scheinen zu glauben, dass sie sich jetzt, da @XMoney breit verfügbar ist, unbefugten Zugang zu Konten verschaffen können." Er fügte hinzu, X habe "keine Hinweise auf irgendwelche Einbrüche gefunden".
Was da passiert, ist eher mechanisch als raffiniert. Jeder kann einen öffentlichen Nutzernamen in das Passwort-vergessen-Formular tippen, also tut das jemand in großem Stil, und X verschickt jedes Mal die legitime Mail. Der Zeitpunkt ist kein Zufall: X Money, der Bezahldienst der Plattform mit Visa-Debitkarte und Überweisungen von Person zu Person für berechtigte US-Nutzer, war gerade breit verfügbar geworden, und ein Konto mit Geld dran ist mehr wert als eines ohne.
Eine Flut echter Zurücksetz-Mails ist vor allem lästig. Die Falle ist die gefälschte, die sich darunter versteckt. Wer diese Nachrichten erwartet, hält eine Phishing-Kopie mit "Bestätigen Sie diese Zurücksetzung" und einem Link, oder mit der Bitte, den Code auf einer Seite einzugeben, für völlig plausibel. Also: Klicken Sie nichts in einer Zurücksetz-Mail an, die Sie nicht ausgelöst haben, geben Sie einen Code nirgends ein außer in der App oder Website, die Sie selbst geöffnet haben, und schalten Sie die Zwei-Faktor-Authentifizierung mit einer Authenticator-App statt per SMS ein. X hat außerdem eine Einstellung namens Password Reset Protect unter Einstellungen und Datenschutz, dann Sicherheit; ist sie an, braucht eine Zurücksetzung mehr als Ihren Nutzernamen.
Tendvane sieht Ihr X-Konto nicht, aber seine Prüfung Datenschutz und Konten macht dieselbe Art von Kontrolle für die Konten auf dem PC selbst: wer sich anmelden kann, und ob jedes davon tatsächlich ein Passwort hat.