मंगलवार को X खातों पर ऐसे पासवर्ड रीसेट ईमेल का हमला हुआ जिसे किसी ने नहीं मांगा। एक उपयोगकर्ता के इनबॉक्स में तीन मिनट में आठ ईमेल आए। X का कहना है कि उसने कोई उल्लंघन नहीं पाया।
ईमेल असली हैं, जो X से ही आ रहे हैं, नकली प्रेषकों से नहीं। हमलावर X के अपने रिकवरी फॉर्म को सार्वजनिक उपयोगकर्ता नामों पर बार-बार लक्षित कर रहे हैं।
जैसे ही समाचार होते हैं, हमें X पर फॉलो करें
X पर बड़ा हैक प्रयास
X ने कंपनी के उत्पाद इंजीनियर मृदुल सिंघाई के माध्यम से जवाब दिया। उन्होंने एक मकसद बताया, उल्लंघन से इनकार किया, और माफी मांगी।
हमलावरों को लगता है कि, अब जब XMoney व्यापक रूप से उपलब्ध है, वे खातों तक अनधिकृत पहुंच प्राप्त कर सकते हैं। हम इस मुद्दे की सक्रिय रूप से जांच कर रहे हैं और अब तक, किसी भी उल्लंघन के कोई सबूत नहीं मिले हैं। हम कई ईमेल के लिए माफी मांगते हैं और आपकी धैर्य की सराहना करते हैं...,” सिंघाई ने लिखा।
यह कंपनी का इस पर एकमात्र बयान था। मुख्य X खाता, X सपोर्ट, और X मनी सभी चुप रहे।
मकसद कैलेंडर के अनुसार मेल खाता है। X मनी ने जून के अंत में अमेरिकी प्रीमियम ग्राहकों के लिए पीयर-टू-पीयर भुगतान शुरू किया। जमा क्रॉस रिवर बैंक में हैं, जिसमें $10 मिलियन तक की संघीय बीमा है।
इसलिए एक X लॉगिन अब एक बैंक लॉगिन भी है। यह गणित को बदल देता है। एक चुराया गया प्रोफ़ाइल एक नकली टोकन को बढ़ावा दे सकता है। एक चुराया गया वॉलेट खाली किया जा सकता है।
कोई लीक की पुष्टि नहीं हुई है। इस तरह के हमले आमतौर पर पुराने ईमेल सूचियों पर चलते हैं जो वर्षों तक आपराधिक बाजारों में घूमती हैं।
X उपयोगकर्ता रीसेट स्पैम को कैसे रोक सकते हैं
X की रिकवरी फॉर्म केवल एक उपयोगकर्ता नाम स्वीकार करता है। उपयोगकर्ता नाम सार्वजनिक होते हैं। यही पूरा प्रारंभ है।
समस्या का समाधान पहले से मौजूद है: X की सहायता पृष्ठों पर किसी भी व्यक्ति को जो रिसेट प्राप्त करता है, उसे बताया जाता है कि उसने 'अनुरोध नहीं किया' है, पासवर्ड रिसेट सुरक्षा चालू करने के लिए। फॉर्म फिर पहले फ़ाइल पर ईमेल या फोन की मांग करता है।
निकिता बियर, जो पहले X में उत्पाद प्रमुख थे, ने मंगलवार को टॉगल पोस्ट किया। उनकी स्क्रीनशॉट ने दोपहर तक 85,000 दृश्य पार कर लिए।
“बस इसे चालू कर दें,” बियर ने नोट किया।
दो और परतें मदद करती हैं:
- पाठ संदेशों के बजाय एक प्रमाणीकरण ऐप का उपयोग करें, और एक पासकी जोड़ें, जो लॉगिन को आपके डिवाइस से जोड़ता है।
- ईमेल को अकेला छोड़ दें, क्योंकि नकली 2FA प्रॉम्प्ट्स ने पहले क्रिप्टो वॉलेट्स को खाली किया है।
X पहले भी यहाँ था, हालांकि अंदर से। जुलाई 2020 में, हमलावरों ने कर्मचारियों के माध्यम से बात की और एक आंतरिक प्रशासनिक उपकरण तक पहुँच गए। उन्होंने पुष्टि ईमेलों का आदान-प्रदान किया और 130 खातों पर रिसेट को मजबूर किया, जिसमें $118,000 बिटकॉइन लिया।
इस बार हमलावर बाहर हैं, एक सार्वजनिक फॉर्म का उपयोग कर रहे हैं। लक्ष्य नहीं बदला है। X खातों को मजबूत करने पर सलाह भी नहीं बदली है।
क्या X फॉर्म पर दर सीमा निर्धारित करता है या इसे उपयोगकर्ताओं पर छोड़ता है, यह अभी भी खुला है।
स्रोत: BeInCrypto
