X: des comptes ciblés après le lancement de X Money

Des utilisateurs de X ont signalé une soudaine vague d'e-mails de réinitialisation de mot de passe non sollicités, d'alertes de connexion depuis des lieux inconnus et de blocages temporaires de compte à partir du 1er septembre 2026, au moment même où la nouvelle fonction de paiement X Money de la plateforme devenait largement disponible.

L'ingénieur produit de X, Mridul Singhai, a déclaré que les attaquants semblent croire que, X Money étant désormais actif, ils peuvent obtenir un accès non autorisé aux comptes. "Nous enquêtons activement sur ce problème et, à ce jour, n'avons trouvé aucune preuve de faille", a-t-il précisé, expliquant que les attaquants déclenchaient massivement le formulaire de réinitialisation de mot de passe à l'aide de noms d'utilisateur publics, plutôt que d'exploiter une nouvelle vulnérabilité. Le directeur juridique de X, James Burnham, a affirmé que les équipes juridiques et de sécurité de l'entreprise "ne reculeraient devant rien pour identifier, localiser et poursuivre pénalement" les responsables.

Des chercheurs externes ayant examiné l'activité l'ont attribuée à une combinaison de failles de sécurité anciennes plutôt qu'à une intrusion récente unique: une faille d'API de 2021-2022 permettant d'associer des e-mails à des comptes, un ensemble de données de 201 millions d'utilisateurs ayant fuité en 2025 et circulant sur des forums de piratage, un botnet actif testant des identifiants volés, et une campagne de phishing en cours depuis juillet 2026. Le botnet a testé environ 4,8 millions de comptes et confirmé 138 compromissions, soit un taux d'environ 0,003%.

Selon les chercheurs, l'authentification à deux facteurs a bloqué environ 85,6% des tentatives de connexion non autorisées. X Money, qui repose sur l'infrastructure bancaire de Cross River Bank, a été déployé cette semaine pour les abonnés Premium et Premium+ aux États-Unis. X exhorte les utilisateurs qui ne l'ont pas encore fait à activer l'authentification à deux facteurs sur leurs comptes.