X: X Money Sonrası Hesaplar Hedef Alındı

X kullanıcıları, platformun yeni ödeme özelliği X Money'nin geniş kitlelere açılmasıyla eş zamanlı olarak, 1 Eylül 2026'dan itibaren istenmeyen şifre sıfırlama e-postaları, yabancı konumlardan giriş uyarıları ve geçici hesap kilitlenmeleri bildirdi.

X ürün mühendisi Mridul Singhai, saldırganların X Money'nin artık aktif olmasıyla hesaplara yetkisiz erişim sağlayabileceklerini düşündüklerini söyledi. Singhai, "Konuyu aktif olarak araştırıyoruz ve şu ana kadar herhangi bir ihlale dair kanıt bulamadık" dedi ve saldırganların yeni bir güvenlik açığından değil, herkese açık kullanıcı adlarıyla şifre sıfırlama formunu toplu tetiklemekten yararlandığını belirtti. X baş hukuk müşaviri James Burnham, şirketin hukuk ve güvenlik ekiplerinin sorumluları "tespit edip bulmak ve cezai olarak hesap sormak için hiçbir şeyi esirgemeyeceğini" söyledi.

Olayı inceleyen bağımsız araştırmacılar, durumu tek bir yeni ihlalden çok eski güvenlik açıklarının bir bileşimine bağladı: saldırganların e-postaları hesaplarla eşleştirmesine olanak tanıyan 2021-2022 tarihli bir API açığı, 2025'te sızan ve hacker forumlarında dolaşan 201 milyon kullanıcı kaydı içeren bir veri seti, çalıntı kimlik bilgilerini test eden aktif bir bot ağı ve Temmuz 2026'dan bu yana süren bir kimlik avı kampanyası. Bot ağı yaklaşık 4,8 milyon hesabı test etti ve yaklaşık yüzde 0,003 oranında, 138 hesabın ele geçirildiğini doğruladı.

Araştırmacıların bulgularına göre iki adımlı doğrulama, yetkisiz giriş girişimlerinin tahminen yüzde 85,6'sını engelledi. Cross River Bank'ın bankacılık altyapısını kullanan X Money, bu hafta ABD'deki Premium ve Premium+ abonelerine sunuldu. X, henüz yapmayan kullanıcıları hesaplarında iki adımlı doğrulamayı etkinleştirmeye çağırıyor.