Dostajesz e-maile o resecie hasła do X, o które nie prosiłeś? Nie ruszaj ich

Jeśli w tym tygodniu twoja skrzynka zapełniła się wiadomościami "zresetuj hasło do X", nie byłeś sam i nie zostałeś zhakowany. Od 1 września użytkownicy X, dawnego Twittera, zgłaszali niechciane e-maile i kody resetowania przychodzące jeden po drugim. Inżynier produktu X, Mridul Singhai, ujął to wprost: "Napastnicy zdają się wierzyć, że teraz, gdy @XMoney jest szeroko dostępne, mogą uzyskać nieautoryzowany dostęp do kont." Dodał, że X "nie znalazł żadnych dowodów naruszeń".

To, co się dzieje, jest raczej mechaniczne niż sprytne. Każdy może wpisać publiczną nazwę użytkownika w formularz odzyskiwania hasła, więc ktoś robi to na masową skalę, a X za każdym razem wysyła prawdziwy e-mail. Moment nie jest przypadkowy: X Money, usługa płatnicza platformy z kartą debetową Visa i przelewami między osobami dla uprawnionych użytkowników w USA, właśnie stała się szeroko dostępna, a konto z podpiętymi pieniędzmi jest warte więcej niż takie bez nich.

Zalew prawdziwych e-maili o resecie to głównie uciążliwość. Pułapką jest fałszywy, ukryty między nimi. Gdy spodziewasz się takich wiadomości, phishingowa kopia z tekstem "potwierdź ten reset" i linkiem albo prośbą o wpisanie kodu na stronie wygląda zupełnie rozsądnie. Dlatego: nie klikaj niczego w e-mailu o resecie, którego nie wywołałeś, nigdy nie wpisuj kodu nigdzie poza aplikacją lub stroną, którą sam otworzyłeś, i włącz uwierzytelnianie dwuskładnikowe z aplikacją uwierzytelniającą zamiast SMS-ów. X ma też ustawienie o nazwie Password Reset Protect w Ustawienia i prywatność, dalej Bezpieczeństwo; gdy jest włączone, reset wymaga czegoś więcej niż nazwy użytkownika.

Tendvane nie widzi twojego konta X, ale jego kontrola Prywatność i konta robi ten sam rodzaj przeglądu dla kont na samym komputerze: kto może się zalogować i czy każde z nich naprawdę ma hasło.