Vous recevez des e-mails de réinitialisation de mot de passe X que vous n'avez pas demandés ? N'y touchez pas

Si votre boîte de réception s'est remplie cette semaine de messages « réinitialisez votre mot de passe X », vous n'étiez pas seul et vous n'avez pas été piraté. À partir du 1er septembre, des utilisateurs de X, l'ancien Twitter, ont signalé des e-mails et des codes de réinitialisation non demandés, arrivant les uns après les autres. Mridul Singhai, ingénieur produit chez X, l'a dit sans détour : « Les attaquants semblent croire que, maintenant que @XMoney est largement disponible, ils peuvent obtenir un accès non autorisé aux comptes. » Il a ajouté que X n'avait « trouvé aucune preuve de compromission ».

Ce qui se passe est mécanique plutôt qu'astucieux. N'importe qui peut taper un nom d'utilisateur public dans le formulaire de mot de passe oublié, alors quelqu'un le fait à grande échelle, et X envoie chaque fois l'e-mail légitime. Le moment n'est pas un hasard : X Money, le service de paiement de la plateforme avec une carte de débit Visa et des virements entre particuliers pour les utilisateurs américains éligibles, venait de devenir largement disponible, et un compte avec de l'argent dessus vaut plus qu'un compte sans.

Une avalanche de vrais e-mails de réinitialisation est surtout une nuisance. Le piège, c'est le faux qui se cache parmi eux. Quand vous attendez ces messages, une copie de phishing qui dit « confirmez cette réinitialisation » avec un lien, ou vous demande de saisir le code sur une page, paraît tout à fait normale. Donc : ne cliquez sur rien dans un e-mail de réinitialisation que vous n'avez pas déclenché, ne saisissez jamais un code ailleurs que dans l'appli ou le site que vous avez ouverts vous-même, et activez l'authentification à deux facteurs avec une appli d'authentification plutôt que par SMS. X propose aussi un réglage appelé Password Reset Protect dans Paramètres et confidentialité, puis Sécurité ; une fois activé, une réinitialisation exige plus que votre nom d'utilisateur.

Tendvane ne voit pas votre compte X, mais son contrôle Confidentialité et comptes fait le même type d'audit pour les comptes du PC lui-même : qui peut se connecter, et si chacun a vraiment un mot de passe.