Угон аккаунта X* всегда был ценен для мошенников: крупный профиль даёт готовую аудиторию, доверие подписчиков и возможность распространять фишинг от чужого имени. После запуска X Money ставки выросли. Для части американских пользователей аккаунт соцсети теперь связан с финансовым сервисом, а выплаты авторам X начала направлять прямо туда.
Почти сразу пользователи столкнулись с волной неожиданных писем для сброса пароля. Некоторые получали по несколько запросов подряд, хотя сами восстановление доступа не запускали. Инженер X Мридул Сингхай подтвердил расследование и предположил, что злоумышленников привлекла широкая доступность X Money. Компания пока не нашла признаков успешного массового взлома аккаунтов.
Запрос на смену пароля сам по себе ещё не означает компрометацию. Посторонний человек может инициировать восстановление доступа, после чего X отправит код владельцу привязанной почты или телефона. Однако массовые запросы позволяют атакующим искать более слабые аккаунты и могут стать первым этапом социальной инженерии, кражи кодов или захвата почтового ящика.
Финансовая мотивация стала заметно сильнее 2 сентября. Согласно правилам выплат, американские участники программы Original Content Rewards получают заработок через X Money, тогда как авторам из других стран по-прежнему доступен Stripe. Через X Money также выплачивается доход от подписок. Один финансовый аккаунт разрешено связать только с одним профилем X.
Сам X Money уже напоминает банковское приложение внутри соцсети. Сервис позволяет хранить деньги, отправлять мгновенные переводы другим пользователям X, получать зарплату через прямое зачисление, оплачивать счета и пользоваться дебетовой картой Visa. Счета обслуживает Cross River Bank, а X обещает доходность до 6% годовых при выполнении условий и 3% кешбэка за подходящие покупки.
При этом захват обычного аккаунта X не гарантирует мгновенный доступ к балансу. Для входа в Money требуется отдельный ключ доступа (passkey), привязанный к устройству и защищённый биометрией или ПИН-кодом. Такая схема заметно усложняет прямую кражу денег, хотя ценность самого профиля для преступников всё равно растёт вместе с числом финансовых функций.
К расследованию подключилось Министерство юстиции США. Генеральный прокурор Тодд Бланш заявил, что злоумышленники нацелились на сотни аккаунтов, а X смогла сорвать попытки захвата. На фоне волны сбросов компания рекомендует пользователям включить двухфакторную защиту и функцию Password Reset Protect, которая требует указать привязанный адрес электронной почты или номер телефона перед отправкой кода восстановления.
Финансовые последствия возможного захвата аккаунта теперь требуют более быстрой реакции. В правилах X Money указано, что ответственность за несанкционированные электронные переводы может зависеть от того, насколько быстро пользователь сообщил о подозрительной операции. Для входа в Money обязателен passkey, а при подозрении на компрометацию X советует сразу сменить пароль, заблокировать карту и обратиться в поддержку.
* Социальная сеть запрещена на территории Российской Федерации.
