Des milliers d’utilisateurs de X ont reçu mardi des mails de réinitialisation de mot de passe qu’ils n’avaient pas demandés, certains comptes en encaissant jusqu’à dix en quelques heures. Des comptes crypto en vue figurent parmi les cibles, y compris avec l’authentification à deux facteurs activée. La plateforme dit enquêter et n’avoir trouvé aucune preuve de compromission. La vague coïncide avec le déploiement de X Money aux États-Unis.
Pour résumer
- Des comptes crypto reçoivent jusqu’à dix mails de réinitialisation en quelques heures
- Le formulaire de récupération accepte un simple nom d’utilisateur pour déclencher l’envoi
- X dit n’avoir constaté aucune preuve de compromission de ses systèmes
Jusqu’à dix mails en quelques heures sur un seul compte
La vague a commencé mardi. Des utilisateurs de X ont vu arriver dans leur boîte des mails de réinitialisation qu’ils n’avaient jamais demandés, à un rythme qui a rapidement inquiété.
Certains comptes ont reçu jusqu’à dix mails en quelques heures. Le volume seul suffit à créer un problème : au bout du cinquième, un utilisateur pressé finit par cliquer, et c’est exactement le comportement que ce genre de campagne cherche à provoquer.
Le moment choisi n’est pas neutre. X Money couvrait déjà 41 États américains en juin sans proposer le moindre actif numérique, et le service vient d’ouvrir aux abonnés payants aux États-Unis. Un compte social adossé à une couche de paiement ne se pirate plus pour les mêmes raisons qu’avant.
Le profil des cibles n’a rien d’aléatoire. Des comptes crypto suivis par des dizaines de milliers de personnes ont été touchés, ainsi que des employés de rédactions spécialisées. Le ciblage suit la valeur de l’audience, pas le hasard des listes.
Point important pour les personnes concernées, l’authentification à deux facteurs n’a rien empêché. Elle protège l’étape finale, celle de la connexion, mais elle ne bloque pas l’envoi d’un mail de réinitialisation déclenché depuis l’extérieur.
Mridul Singhai, membre de l’équipe X Product Engineering, a répondu publiquement que les attaquants semblaient croire qu’avec la disponibilité élargie de X Money, ils pouvaient accéder aux comptes sans autorisation. Il a ajouté que l’enquête était en cours et qu’aucune preuve de compromission n’avait été trouvée à ce stade.
Un nom d’utilisateur suffit à déclencher l’envoi
La mécanique est plus banale qu’une intrusion. Le système de récupération de X permet de lancer une réinitialisation à partir d’un nom d’utilisateur, d’une adresse mail ou d’un numéro de téléphone.
Quand la demande passe par le nom d’utilisateur, la plateforme envoie le message à l’adresse liée au compte. L’attaquant n’a donc jamais besoin de connaître cette adresse. Il lui suffit d’un pseudonyme public et d’un script pour automatiser la demande à grande échelle.
C’est ce qui explique l’absence de brèche côté serveur. Aucun système n’a été forcé, aucune base n’a fuité dans cet épisode précis. Une fonction prévue pour aider les utilisateurs à récupérer leur compte a simplement été retournée contre eux.
Les fuites de données clients alimentent directement ce type de campagne. Trezor avait laissé filer 13 689 adresses de clients par son transporteur en août, un fichier sans valeur marchande directe mais parfait pour cibler des porteurs identifiés.
Le risque réel se situe donc dans la boîte de réception. Les mails de réinitialisation légitimes et les mails de hameçonnage bien copiés se ressemblent, et l’utilisateur noyé sous les notifications perd rapidement sa capacité à faire le tri.
Reste que la frontière entre nuisance et incident tient à peu de chose. Une réinitialisation aboutit si l’attaquant met la main sur le lien envoyé, donc sur la boîte mail elle-même. C’est cette adresse, souvent plus ancienne et moins protégée que le compte social, qui devient le maillon à surveiller.
Les consignes de la plateforme tiennent en deux points. Activer l’authentification à deux facteurs et l’option de protection de la réinitialisation de mot de passe, puis ne cliquer sur aucun lien contenu dans ces messages.
L’antécédent de 2023 pèse sur la lecture de l’épisode. Plus de 200 millions d’enregistrements de comptes X s’étaient retrouvés sur le dark web, issus d’une faille d’interface remontant à 2021. Les correspondances entre pseudonymes et adresses mail circulent depuis.
À voir également sur Cryptonomic :
- Crypto.com coupe sa blockchain après un vol de 75 M$
- Chelsea affiche l’USDC sur son maillot cette saison
- Trump : ses investisseurs crypto perdent 4,7 Md$
X Money change ce que vaut un compte piraté
Le calendrier est le vrai sujet. La vague survient au moment où X Money se déploie aux États-Unis pour les abonnés Premium et Premium+, un service de paiement construit avec Cross River Bank.
Jusqu’ici, prendre le contrôle d’un compte suivi permettait de publier une arnaque et d’espérer que quelques abonnés mordent. Avec une couche de paiement rattachée au même identifiant, la valeur d’un compte détourné change de nature. Et le temps de réaction se compte en minutes : une faille de portefeuille matériel avait laissé filer 70 M$ en bitcoins en quarante et une minutes.
Le projet de paiement de la plateforme avance depuis des mois. Le service a avancé pendant des mois sans intégration crypto, ce qui n’a jamais empêché l’écosystème crypto de considérer le service comme un futur rail de paiement.
Pour un détenteur d’actifs numériques, le compte social est de toute façon devenu une pièce du dispositif de sécurité. Il sert d’identité publique, de canal de contact avec les projets, et parfois de point de récupération pour d’autres services. Remonter jusqu’à un voleur reste un travail de plusieurs semaines, quand la piste existe encore.
Le profil des personnes visées ajoute une couche. Un compte crypto suivi sert de canal d’annonce pour des projets, de preuve d’identité dans des discussions de financement, parfois de point de contact unique avec une communauté. Sa valeur ne se mesure pas au nombre d’abonnés mais à ce que ces abonnés sont prêts à croire.
À court terme, la question est de savoir si la campagne débouche sur des prises de contrôle effectives. Une vague de sollicitations sans succès reste une nuisance. Un seul compte à forte audience réellement détourné change le bilan.
Sur trois à six mois, l’enjeu se déplace vers la fonction de récupération elle-même. Une plateforme qui héberge un service de paiement ne peut pas garder un formulaire qui accepte un pseudonyme public comme point d’entrée. Le secteur a déjà vu combien il est long de remonter jusqu’à un voleur une fois les fonds partis.
Le rappel vaut aussi pour la garde des actifs. Une plateforme qui devient un rail de paiement hérite des exigences de sécurité d’un établissement financier, et le formulaire de récupération en fait partie au premier chef.
Affaire à suivre sur Cryptonomic.
