¿Recibes correos de X para restablecer la contraseña que nunca pediste? No los toques
Si esta semana tu bandeja de entrada se llenó de mensajes de "restablece tu contraseña de X", no eras el único y no te han hackeado. Desde el 1 de septiembre, usuarios de X, el antiguo Twitter, informaron de correos y códigos de restablecimiento no solicitados llegando uno tras otro. Mridul Singhai, ingeniero de producto de X, lo dijo sin rodeos: "Los atacantes parecen creer que, ahora que @XMoney está ampliamente disponible, pueden obtener acceso no autorizado a las cuentas." Añadió que X no había "encontrado ninguna prueba de brechas".
Lo que ocurre es mecánico más que ingenioso. Cualquiera puede escribir un nombre de usuario público en el formulario de contraseña olvidada, así que alguien lo está haciendo a gran escala, y X envía cada vez el correo legítimo. El momento no es casualidad: X Money, el servicio de pagos de la plataforma con una tarjeta de débito Visa y transferencias entre particulares para usuarios estadounidenses elegibles, acababa de estar ampliamente disponible, y una cuenta con dinero vinculado vale más que una sin él.
Una avalancha de correos de restablecimiento auténticos es sobre todo una molestia. La trampa es el falso que se esconde entre ellos. Cuando esperas estos mensajes, una copia de phishing que dice "confirma este restablecimiento" con un enlace, o te pide teclear el código en una página, parece perfectamente razonable. Así que: no hagas clic en nada de un correo de restablecimiento que no hayas provocado, nunca introduzcas un código en ningún sitio salvo en la app o web que abriste tú mismo, y activa la autenticación en dos pasos con una app de autenticación en lugar de mensajes de texto. X también tiene un ajuste llamado Password Reset Protect en Configuración y privacidad, luego Seguridad; con él activado, un restablecimiento necesita algo más que tu nombre de usuario.
Tendvane no puede ver tu cuenta de X, pero su revisión de Privacidad y cuentas hace el mismo tipo de auditoría para las cuentas del propio PC: quién puede iniciar sesión y si cada una tiene realmente contraseña.