X（旧ツイッター）で、身に覚えのないパスワードリセットメールを受け取ったとの報告が8月から相次いでおり、9月1日には急増したことが判明した。メールはXの正規システムから送信された本物だが、ユーザー本人が要求したものではない。
攻撃者らが公開されているユーザー名を使い、Xの「パスワードを忘れた場合」フォームを繰り返し操作していることが原因とみられる。この結果、登録済みのメールアドレス宛てに正規のリセットコードが送られ、短時間で8〜10通を受け取った利用者もいたという。
Xのエンジニアであるムリドゥル・シンガイ氏は、社内で状況を調査中とした上で、プラットフォームへの侵害を示す証拠は見つかっていないと述べた。同氏は、7月下旬に米国のプレミアム会員向けに拡大された決済機能「Xマネー」を狙い、攻撃者がアカウント乗っ取りを試みている可能性があるとの見方を示したが、大規模な乗っ取り被害は確認されていないという。
同様のメール急増は、2022年に発覚したメールアドレスの大量流出や、2025年4月に闇フォーラムで公開されたとされる2億件超のユーザー情報とも関連付けられているが、Xは新たな情報漏えいを確認していないとしている。専門家は、使い回された古い認証情報やユーザー名の収集が主な原因である可能性が高いとみている。
Xは利用者に対し、身に覚えのないリセットメールが届いてもリンクは開かず、アプリや公式サイトから直接アカウントを確認するよう呼びかけている。
設定画面の「セキュリティとアカウントアクセス」内にある「パスワードリセット保護」を有効にすると、リセット要求の際に登録済みの連絡先情報の入力が求められるようになり、不正な要求を防ぎやすくなるという。
さらに、パスワードの使い回しを避け、SMS認証ではなくアプリ型の二段階認証やパスキーを設定した上で、ログイン中のセッション履歴を確認することも有効だとされる。Xは今回の急増について不正アクセスの有無を含めて調査を続けている模様だ。
