X a commencé à enquêter sur une vague de courriels de réinitialisation de mot de passe et de codes de confirmation non sollicités, bien que son examen initial n'ait trouvé aucune preuve que les systèmes de la plateforme aient été compromis.

X ne trouve aucune violation lors de l'examen initial des réinitialisations de mot de passe

Mridul Singhai, membre de l'équipe d'ingénierie produit de X, a déclaré mardi que l'entreprise examinait les signalements d'utilisateurs ayant reçu des courriels et des codes de réinitialisation de mot de passe inattendus. Selon Singhai, X n'avait pas identifié de compromission de ses systèmes internes au moment de sa déclaration.

Plusieurs titulaires de compte ont déclaré que les messages étaient arrivés sans qu'ils aient tenté de modifier leurs informations de connexion. Certains utilisateurs ont également signalé avoir reçu plusieurs demandes de réinitialisation, soulevant des questions quant à savoir si des parties inconnues tentaient de prendre le contrôle de leurs comptes.

Un message de réinitialisation non sollicité ne prouve pas en soi qu'un mot de passe de compte a été exposé ou que quelqu'un y a eu accès. X permet à une personne de démarrer le processus de récupération en saisissant un nom d'utilisateur, une adresse e-mail ou un numéro de téléphone de compte, après quoi la plateforme envoie un code de confirmation à la méthode de contact enregistrée.

Même ainsi, les utilisateurs ne doivent pas partager un code de réinitialisation ni approuver un changement de mot de passe qu'ils n'ont pas demandé. Singhai a conseillé aux titulaires de compte d'activer l'authentification à deux facteurs et d'éviter d'ouvrir des liens envoyés via des courriels inattendus.

Il a également déclaré que les attaquants semblaient croire qu'un accès accru à X Money pourrait rendre le contrôle des comptes X plus précieux. L'entreprise n'a pas divulgué qui pourrait être responsable des demandes, combien de comptes les ont reçues, ni si l'activité provenait d'une campagne automatisée.

Les paramètres de sécurité de X peuvent restreindre les demandes de réinitialisation

Conformément aux directives de sécurité de compte publiées par X, les utilisateurs peuvent activer la protection contre la réinitialisation du mot de passe (Password reset protection) depuis la section Sécurité de leurs paramètres de compte. Une fois activée, cette fonctionnalité exige des informations d'identification supplémentaires avant que X n'envoie un lien de réinitialisation de mot de passe ou un code de confirmation.

Selon les informations associées à un compte, un utilisateur peut avoir besoin de fournir une adresse e-mail, un numéro de téléphone, ou les deux. Exiger ces détails peut rendre plus difficile pour une partie inconnue de déclencher des demandes de réinitialisation répétées en utilisant uniquement un nom d'utilisateur public.

L'authentification à deux facteurs ajoute une vérification supplémentaire lors de la connexion. X prend actuellement en charge les messages texte, les applications d'authentification et les clés de sécurité physiques, bien que les méthodes disponibles puissent dépendre du type de compte et du statut d'abonnement.

Selon les instructions de récupération de mot de passe de la plateforme, les codes de réinitialisation envoyés par e-mail restent valides pendant 60 minutes. La réalisation d'une réinitialisation de mot de passe déconnecte le compte de toutes les sessions X actives, tandis que la modification d'un mot de passe à partir d'une session existante laisse la session utilisée pour le changement active.

X conseille spécifiquement aux personnes qui reçoivent à plusieurs reprises des e-mails de réinitialisation non demandés d'activer à la fois la protection contre la réinitialisation du mot de passe et l'authentification à deux facteurs. Sa page de sécurité indique également aux utilisateurs de vérifier qu'une page de connexion utilise le domaine x.com avant de saisir les identifiants de compte.

Plutôt que de suivre un lien e-mail, les titulaires de compte peuvent ouvrir l'application X ou taper l'adresse de la plateforme directement dans un navigateur pour vérifier leurs paramètres. X indique que ses e-mails légitimes proviennent d'adresses se terminant par @x.com ou @e.x.com, n'incluent pas de pièces jointes et ne demandent jamais aux destinataires de fournir leur mot de passe par e-mail, message direct ou réponse.

Toute personne ayant saisi des identifiants sur un site web inconnu doit changer le mot de passe via X, sécuriser l'adresse e-mail liée au compte et supprimer l'accès aux applications tierces non reconnues, conformément aux directives de l'entreprise. Un nouveau mot de passe doit également être différent des identifiants utilisés sur d'autres services.

X Money étend son accès à travers les États-Unis

Les rapports sur les e-mails de réinitialisation sont apparus alors que X étendait X Money aux abonnés Premium et Premium+ titulaires de comptes américains. Le service permet aux utilisateurs éligibles de s'envoyer de l'argent mutuellement sans quitter la plateforme sociale et s'appuie sur Cross River Bank pour son infrastructure bancaire.

Comme crypto.news l'avait déjà rapporté, le lancement de X Money inclut des comptes de dépôt, des virements instantanés et une carte de débit Visa. Le service offre également des rendements annuels pouvant atteindre 6 %, tandis que les achats éligibles avec la carte X peuvent rapporter 3 % de remise en argent.

Cross River détient les dépôts des clients et connecte X Money aux réseaux bancaires utilisés pour les virements. Les dépôts détenus directement auprès d'une banque membre de la Federal Deposit Insurance Corporation (FDIC) peuvent bénéficier de l'assurance FDIC standard allant jusqu'à 250 000 $, sous réserve des règles de l'agence.

X Money utilise également un programme de balayage de fonds (cash sweep program) qui place les fonds dans diverses banques assurées participantes. Les clients éligibles peuvent recevoir une couverture FDIC agrégée par transfert allant jusqu'à 10 millions de dollars, bien que X Payments ne soit ni une banque ni une institution assurée par la FDIC.

Le service de paiement utilise des clés d'accès (passkeys) pour l'authentification et offre aux clients des outils pour définir des limites de transaction et des exigences d'approbation supplémentaires. Visa assure des mesures de sécurité et de gestion des risques pour les achats effectués via la carte X.

L'accès initial était limité à certains utilisateurs Premium+ lorsque le service de paiement a commencé à utiliser l'infrastructure de Cross River en juin. X a ensuite ajouté les abonnés Premium alors qu'il étendait la disponibilité à travers les États-Unis.

Malgré les collaborations passées de Cross River avec Ripple, ni X ni la banque n'ont annoncé le support de XRP ou d'une autre cryptomonnaie au sein de X Money. Le service actuel déplace des dollars américains via des réseaux bancaires et de cartes conventionnels.

X a également envisagé les paiements aux créateurs en stablecoins

Les plans financiers de X s'étendent au-delà des virements entre utilisateurs. En août, l'entreprise envisageait les paiements en USDC et d'autres stablecoins comme options possibles pour les récompenses des créateurs, selon une personne familière avec les discussions.

Aucun jeton, réseau blockchain ou date de lancement n'avait été sélectionné au moment de ce rapport. X n'avait pas non plus divulgué si les créateurs recevraient automatiquement des stablecoins ou s'ils les choisiraient comme alternative aux paiements bancaires.

Les discussions ont eu lieu avant le remplacement prévu du programme de partage des revenus (Revenue Sharing) de la plateforme par les Récompenses pour le contenu original (Original Content Rewards) le 8 septembre. Selon les règles d'éligibilité annoncées par X, les créateurs doivent avoir au moins 500 abonnés vérifiés et 500 000 impressions sur leur fil d'actualité (Home Timeline) provenant d'utilisateurs vérifiés au cours des 90 jours précédents.

X n'a pas confirmé que des actifs numériques seraient ajoutés à X Money. Le service de paiement de la plateforme reste actuellement limité aux abonnés américains éligibles, et l'entreprise n'a pas fourni de calendrier pour l'accès aux comptes gratuits ou aux utilisateurs en dehors du pays.