X Money開始後、Xユーザーにパスワードリセットメールが殺到

X Moneyの展開が始まったばかりですが、攻撃者はすでにXアカウントへの新たな侵入手口を試し始めています。

プラットフォームの新しい決済サービスがローンチされて以降、多くのユーザーがXから何度も身に覚えのないパスワードリセットメールを受け取ったと報告しています。これらのメッセージ自体は、同社のアカウント復旧プロセスを通じて送信された、正規のXセキュリティメールであるようです。

問題はその先です。攻撃者は公開されているXのユーザー名を使って何度もリセットリクエストを発生させ、それによって生じた混乱につけ込み、ログイン認証情報を盗むために作られたフィッシングメッセージを送りつけている可能性があります。

X Moneyによってプラットフォームに金融サービスが追加されたことで、乗っ取られたアカウントは攻撃者にとってより価値の高いものになる可能性があります。ただし、これらのリセットの試みが実際にアカウント乗っ取りの成功につながったという確証は、現時点では得られていません。

つまり、攻撃者は必ずしもユーザーのメールアドレスやパスワードを知らなくても、このプロセスを開始できるということです。Euronewsが伝えたユーザーの報告によれば、このリセットの殺到はフィッシングにつながる隙も生み出しています。

その手口は、本物のXセキュリティメールを受け取った後であれば、ユーザーは「アカウントの保護」や「リセット」が必要だと訴える後続のメッセージをより信用しやすくなる、というものです。そうしたメッセージは、認証情報を盗むために作られた偽のXログインページへと被害者を誘導する可能性があります。

攻撃者の最終的な狙いはアカウント乗っ取りにあるとみられます。X Moneyによってこれらのアカウントには決済機能が付与されており、金銭的な詐欺の燃料になり得るためです。Euronewsによると、同社の組み込みチャットボットGrokが一部の報告に応答し、ユーザーにアカウントを保護するための実践的な手順を案内しているといいます。

Xはこの問題について公式には認めておらず、TechCrunchからの取材依頼にも応じていませんが、同社はこのインシデントを把握しています。同社のプロダクトエンジニアが不便をかけたことを謝罪し、現在調査中であるとユーザーに通知しています。

Xが攻撃者への法的措置を警告

Xはまた、責任者の追及に乗り出す姿勢も示しています。

TechCrunchによると、同社の法務責任者であるJames Burnham氏がこの問題についてコメントし、背後にいる人物の訴追を誓っています。

Burnham氏はX上に投稿し、「@Xの法務・セキュリティチームは、我々のプラットフォームのユーザーを被害に遭わせようとする者が、地球上のどこにいようと、あるいは地球外であろうと、その特定・追跡・刑事責任の追及を決してあきらめない」と述べました。

X Moneyを使う・使わないにかかわらず、取るべき対策

Xに決済プラットフォームが直接組み込まれたことで、脅威アクターにとってのXアカウントの価値は高まっています。今回の報告は、Xユーザー、特にX Moneyの利用を予定しているユーザーが、アカウントのセキュリティ警告やリセットメールに対して一段と警戒すべきであることを思い出させるものです。

ユーザーは二要素認証を有効にしておくべきです。そうすることで、パスワードが盗まれただけでは攻撃者がアカウントに完全にアクセスできる可能性が低くなります。

それに加えて、ユーザーはプラットフォーム全体で不審なメッセージに注意する必要があります。これには、リンクのクリック、アカウントの確認、パスワードのリセット、あるいは個人情報や決済情報の提供を求めてくる、身に覚えのないDM、リプライ、公開投稿が含まれます。

メールについても同様の警戒が必要です。特に予期せず届いたものや、サインインを求めるリンクが含まれているものには注意すべきです。

何より重要なのは、X Moneyによって、ユーザーが自分のXアカウントのセキュリティについて考え方を改める必要があるという点です。Xアカウントはもはや、単に投稿したり、フォローしたり、メッセージをやり取りしたりするだけの場所として扱うべきではありません。プラットフォームに金融サービスが組み込まれた以上、ユーザーは銀行アプリに対するのと同じセキュリティ意識を適用すべきです。

具体的には、以下のような対策が挙げられます。

• 強力でユニークなパスワードを使用する
• 二要素認証を有効にする
• Xに紐づくメールアカウントを保護する
• アカウントのアクティビティを定期的に確認する
• Xおよびオペレーティングシステムのアップデートを速やかに適用する
• 身に覚えのないメールやメッセージ内のリンクからサインインしない

これが重要なのは、今回の攻撃が正規のパスワードリセットの仕組みを悪用したものだとしても、次に来る攻撃はもっと巧妙で洗練された形を取るかもしれないからです。攻撃者が新たな標的の見つけ方を発見する前に、アカウントを保護しておくことが最も安全なアプローチです。

その他のニュース: CrowdStrike FalCon 2026では、自律型AIがサイバー攻撃のタイムラインをいかに圧縮しているかが強調され、セキュリティ担当者からは防御側もますますマシン並みの速度で動く必要があるとの警告が上がりました。