Una lluvia de correos no solicitados

Los usuarios de X están reportando desde el lunes una oleada de correos electrónicos de restablecimiento de contraseña que nadie pidió. La compañía ya investiga el origen de estos ataques masivos, y todo apunta a que el reciente lanzamiento de X Money —el servicio de pagos de la plataforma— ha despertado el interés de los ciberdelincuentes.

Según Mridul Singhai, ingeniero de producto de X, los atacantes están utilizando nombres de usuario públicos para disparar solicitudes de cambio de contraseña de forma automática. «Los atacantes parecen creer que, ahora que @XMoney está ampliamente disponible, pueden obtener acceso no autorizado a las cuentas», escribió Singhai en la red social. Hasta el momento, la compañía asegura que no hay evidencia de que ningún ataque haya tenido éxito.

«Estamos investigando activamente el problema y, hasta ahora, no hemos encontrado evidencia de ninguna brecha. Pedimos disculpas por los múltiples correos y agradecemos su paciencia mientras trabajamos para resolver esto.»
— Mridul Singhai, ingeniero de producto de X

La respuesta oficial de X

James Burnham, director jurídico de X, se pronunció con un mensaje contundente: «Los equipos legal y de seguridad de @X no se detendrán ante nada para identificar, localizar y responsabilizar penalmente a cualquier persona, en cualquier lugar de la Tierra o fuera de ella, que intente victimizar a los usuarios de nuestra plataforma».

Por su parte, el chatbot de inteligencia artificial de X, Grok, también intervino para confirmar la situación: «Sí, una ola generalizada de correos electrónicos de restablecimiento de contraseña no solicitados está afectando a muchas cuentas en este momento. Los atacantes están disparando masivamente el formulario usando nombres de usuario públicos. No se ha confirmado ninguna brecha del sistema ni toma masiva de cuentas«.

El peligro oculto: suplantación de identidad

Aunque los correos de restablecimiento en sí mismos no son peligrosos —de hecho, actúan como un mecanismo de autenticación multifactor que impide que extraños cambien la contraseña sin permiso—, los expertos advierten que esta avalancha podría estar ocultando un ataque secundario más sutil: el phishing.

Varios usuarios han reportado haber recibido mensajes adicionales, supuestamente de X, que les instan a cambiar su contraseña con urgencia. Estos correos incluyen enlaces falsos que redirigen a sitios fraudulentos diseñados para robar las credenciales de inicio de sesión. Singhai calificó esta posibilidad como «plausible» y recomendó a los usuarios verificar que cualquier correo que parezca venir de X tenga como remitente el dominio «x.com» y cuente con la marca de verificación azul BIMI que autentica al remitente.

Cómo proteger tu cuenta

La mejor práctica, como siempre, es no hacer clic en enlaces incluidos en correos electrónicos sospechosos. Para cambiar la contraseña, lo más seguro es acceder directamente a la plataforma a través de la aplicación oficial o escribiendo la URL en el navegador. X también recomienda activar la función Password Reset Protect (disponible en Ajustes y privacidad > Seguridad) y, por supuesto, habilitar la autenticación de dos factores (2FA) si aún no se ha hecho.

Mientras la investigación continúa, los usuarios de X deben permanecer alerta. La compañía no ha publicado aún un comunicado oficial en sus cuentas corporativas, pero la advertencia de Singhai es clara: revisa siempre el remitente y no te dejes llevar por la urgencia. La seguridad de tu cuenta —y ahora de tu dinero— depende de ello.