Akun-akun X menerima email reset password pada hari Selasa, meskipun tidak ada yang memintanya. Kotak masuk salah satu pengguna menunjukkan delapan email masuk dalam waktu tiga menit. X menyatakan bahwa mereka tidak menemukan adanya pelanggaran.
Email-email tersebut benar-benar berasal dari X, bukan dari pengirim palsu. Penyerang terus-menerus menggunakan formulir pemulihan X terhadap username-username publik.
Ikuti kami di X untuk mendapatkan berita terkini setiap saat
Upaya Peretasan Besar di X
X merespons melalui Mridul Singhai, seorang product engineer di perusahaan itu. Ia memberi penjelasan motif, membantah adanya pelanggaran, dan meminta maaf.
“Penyerang nampaknya berpikir bahwa, sekarang XMoney sudah tersedia luas, mereka bisa mendapatkan akses tidak sah ke akun-akun. Kami sedang menyelidiki masalah ini secara aktif dan, sejauh ini, belum menemukan bukti ada pelanggaran. Kami mohon maaf atas banyaknya email yang dikirim dan kami menghargai kesabaran Anda…,” tulis Singhai.
Itu saja penjelasan dari perusahaan. Akun utama X, X Support, dan X Money juga tetap diam.
Motifnya sesuai dengan jadwal. X Money mulai memperkenalkan pembayaran peer-to-peer untuk pelanggan Premium AS di akhir Juni. Dana disimpan di Cross River Bank, dengan asuransi federal hingga US$10.000.000.
Jadi, login X kini juga berarti login ke bank. Ini mengubah perhitungannya. Profil yang dicuri bisa memasarkan token palsu. Wallet yang dicuri bisa dikosongkan.
Tidak ada kebocoran yang terkonfirmasi. Serangan semacam ini biasanya menggunakan daftar email lama yang telah beredar di pasar kriminal selama bertahun-tahun.
Cara Pengguna X Menghentikan Spam Reset Password
Formulir pemulihan X hanya membutuhkan username. Username bersifat publik. Inilah celah utama yang digunakan penyerang.
Sebenarnya solusinya sudah ada: halaman bantuan X menyarankan siapa pun yang menerima reset password yang “tidak mereka minta” untuk mengaktifkan Perlindungan Reset Password. Setelah diaktifkan, formulir akan meminta email atau nomor telepon yang terdaftar lebih dulu.
Nikita Bier, mantan kepala produk di X, membagikan cara menyalakan fitur ini pada hari Selasa. Tangkapan layarnya sudah dilihat lebih dari 85.000 kali hingga sore hari.
“Cukup aktifkan fitur ini,” imbuh Bier.
Dua lapisan perlindungan tambahan juga bisa membantu:
- Gunakan aplikasi authenticator, bukan pesan SMS, dan tambahkan passkey yang mengaitkan login dengan perangkat Anda.
- Abaikan saja email reset tersebut, sebab permintaan 2FA palsu telah menguras wallet kripto sebelumnya.
X pernah menghadapi kejadian serupa dari sisi internal. Pada bulan Juli 2020, penyerang berhasil membujuk staf untuk menyerahkan akses ke alat admin internal. Mereka mengganti email konfirmasi dan memaksa reset pada 130 akun, lalu mencuri Bitcoin senilai US$118.000.
Kali ini, penyerang berasal dari luar dan menggunakan formulir publik. Sasarannya tetap sama. Begitu pula dengan saran mengamankan akun X.
Apakah X akan membatasi penggunaan formulir atau menyerahkan ini kepada pengguna, masih belum jelas.
