X розпочала розслідування хвилі небажаних електронних листів для скидання паролів та кодів підтвердження, хоча її початковий аналіз не виявив доказів злому систем платформи.
Член команди X Product Engineering Мрідул Сінгхай заявив у вівторок, що компанія вивчає повідомлення від користувачів, які отримували несподівані електронні листи та коди для скидання паролів. За словами Сінгхая, на момент його заяви X не виявила компрометації своїх внутрішніх систем.
Кілька власників облікових записів заявили, що повідомлення надходили без жодних спроб з їхнього боку змінити свої дані для входу. Деякі користувачі також повідомляли про отримання кількох запитів на скидання, що викликало питання про те, чи намагалися невідомі сторони отримати контроль над їхніми обліковими записами.
Незваний запит на скидання сам по собі не означає, що пароль облікового запису був скомпрометований або що хтось отримав до нього доступ. X дозволяє особі розпочати процес відновлення, ввівши ім'я користувача облікового запису, електронну адресу або номер телефону, після чого платформа надсилає код підтвердження на зареєстрований контактний метод.
Незважаючи на це, користувачі не повинні ділитися кодом скидання або схвалювати зміну пароля, яку вони не запитували. Сінгхай порадив власникам облікових записів увімкнути двофакторну автентифікацію та уникати відкриття посилань, надісланих у несподіваних електронних листах.
Він також зазначив, що, схоже, зловмисники вважають, що розширений доступ до X Money може зробити контроль над обліковими записами X ціннішим. Компанія не розголошувала, хто може бути відповідальним за ці запити, скільки облікових записів їх отримало, або чи була ця активність частиною автоматизованої кампанії.
Згідно з опублікованими рекомендаціями X щодо безпеки облікових записів, користувачі можуть увімкнути Захист від скидання пароля в розділі «Безпека» своїх налаштувань облікового запису. Після ввімкнення ця функція вимагає додаткової ідентифікаційної інформації, перш ніж X надішле посилання для скидання пароля або код підтвердження.
Залежно від інформації, пов'язаної з обліковим записом, користувачеві може знадобитися надати електронну адресу, номер телефону або обидва. Вимога цих даних може ускладнити невідомій стороні ініціювання повторних запитів на скидання, використовуючи лише публічне ім'я користувача.
Двофакторна автентифікація додає додаткову перевірку під час входу. X наразі підтримує текстові повідомлення, програми для автентифікації та фізичні ключі безпеки, хоча доступні методи можуть залежати від типу облікового запису та статусу підписки.
Згідно з інструкціями платформи щодо відновлення пароля, коди скидання, надіслані електронною поштою, залишаються дійсними протягом 60 хвилин. Завершення скидання пароля виводить обліковий запис з усіх активних сесій X, тоді як зміна пароля з поточної сесії залишає сесію, використану для зміни, активною.
X особливо радить людям, які неодноразово отримують електронні листи для скидання, які вони не запитували, увімкнути як Захист від скидання пароля, так і двофакторну автентифікацію. Її сторінка безпеки також радить користувачам перевіряти, чи сторінка входу використовує домен x.com, перш ніж вводити облікові дані.
Замість того, щоб переходити за посиланням з електронного листа, власники облікових записів можуть відкрити додаток X або ввести адресу платформи безпосередньо в браузері, щоб переглянути свої налаштування. X заявляє, що її легітимні електронні листи надходять з адрес, що закінчуються на @x.com або @e.x.com, не містять вкладень і ніколи не просять одержувачів надати свій пароль електронною поштою, прямим повідомленням або у відповідь.
Будь-хто, хто ввів облікові дані на незнайомому веб-сайті, повинен змінити пароль через X, захистити електронну адресу, пов'язану з обліковим записом, і видалити доступ для нерозпізнаних сторонніх програм, згідно з рекомендаціями компанії. Новий пароль також повинен відрізнятися від облікових даних, що використовуються в інших сервісах.
Звіти про електронні листи для скидання з'явилися в той час, як X розширила X Money для підписників Premium і Premium+ з обліковими записами в США. Сервіс дозволяє відповідним користувачам надсилати гроші один одному, не залишаючи соціальної платформи, і покладається на Cross River Bank для своєї банківської інфраструктури.
Як раніше повідомляло crypto.news, запуск X Money включає депозитні рахунки, миттєві перекази та дебетову картку Visa. Сервіс також пропонує річну прибутковість до 6%, тоді як відповідні покупки з карткою X Card можуть приносити 3% кешбеку.
Cross River зберігає депозити клієнтів та підключає X Money до банківських мереж, що використовуються для переказів. Депозити, що зберігаються безпосередньо в банку-члені Федеральної корпорації страхування депозитів (FDIC), можуть претендувати на стандартне страхування FDIC до 250 000 доларів США, відповідно до правил агентства.
X Money також використовує програму «cash sweep», яка розміщує кошти в банках-учасниках, що мають страховку. Відповідні клієнти можуть отримати сукупне наскрізне покриття FDIC до 10 мільйонів доларів США, хоча X Payments не є банком або установою, застрахованою FDIC.
Платіжний сервіс використовує ключі доступу (passkeys) для автентифікації та надає клієнтам інструменти для встановлення лімітів транзакцій та додаткових вимог до підтвердження. Visa забезпечує заходи безпеки та управління ризиками для покупок, здійснених за допомогою X Card.
Початковий доступ був обмежений для обраних користувачів Premium+, коли платіжний сервіс почав використовувати інфраструктуру Cross River у червні. Пізніше X додала підписників Premium, розширюючи доступність по всій території Сполучених Штатів.
Незважаючи на минулу співпрацю Cross River з Ripple, ні X, ні банк не оголошували про підтримку XRP чи іншої криптовалюти в межах X Money. Поточний сервіс переміщує долари США через традиційні банківські та карткові мережі.
Фінансові плани X виходять за межі переказів між користувачами. У серпні компанія розглядала платежі в USDC та інших стейблкоїнах як можливі варіанти винагород для творців, за словами особи, обізнаної з обговореннями.
На момент цього повідомлення не було обрано жодного токена, блокчейн-мережі або дати запуску. X також не розголошувала, чи отримуватимуть творці стейблкоїни автоматично, чи обиратимуть їх як альтернативу банківським платежам.
Обговорення відбулися напередодні запланованої заміни програми розподілу доходів (Revenue Sharing) платформи на «Винагороди за оригінальний контент» (Original Content Rewards) 8 вересня. Згідно з оголошеними правилами X щодо відповідності вимогам, творцям потрібно мати щонайменше 500 верифікованих підписників та 500 000 показів у стрічці новин від верифікованих користувачів протягом попередніх 90 днів.
X не підтвердила, що цифрові активи будуть додані до X Money. Платіжний сервіс платформи наразі залишається обмеженим для відповідних підписників у США, і компанія не надала графіку доступу для безкоштовних облікових записів або користувачів за межами країни.
XRP
USDC
