トッド・ブランシュ司法長官、Xサイバー攻撃を受けハッカー集団に警戒を呼びかけ

トッド・ブランシュ司法長官は、司法省が今週、Xユーザーに一方的にパスワードリセットメールを送りつけたサイバー犯罪者を追及していると述べた。.

同プラットフォームは、攻撃が早期に阻止されたため、アカウントが侵害された事例はないと主張している。.  

Xに対するパスワードリセット攻撃

2026年9月2日、トッド・ブランシュ司法長官は Xのウェブサイト上で 、「数十万人のXユーザー」がパスワード復旧プロセスを介したアカウント乗っ取りの組織的な試みによって影響を受けたと述べた。同長官は、X社が攻撃を早期に阻止し、ユーザーアカウントの侵害を防いだことを高く評価した。 

ブランシュ氏は、捜査官らは「Xと緊密に連携して犯人を tracている」と付け加えた。 

この攻撃が最初に明らかになったのは9月1日で、ユーザーがリセットメッセージが大量に届いたと投稿し始めた時だった。一部のユーザーの受信トレイには、 東部時間午前9時30分頃の短い時間帯に 約10通のメールが届いたと報告されている。

これらのメッセージは公式メールアドレス（[email protected]）から送信され、リセットに必要な6桁のコードも記載されていたため、会社から送られてきたように見えた。しかし、X社のエンジニアであるムリドゥル・シンガイ氏は、情報漏洩の兆候は見つからなかったと述べた。また、メールの送信量が多かったことについても謝罪した。 

シンハイ氏は、今回の攻撃を 「X Money」、「攻撃者たちは、@XMoneyが広く利用可能になった今、アカウントへの不正アクセスが可能になったと考えている」と示唆した。

Xは過去にハッキングされたことがありますか？ 

Xのデータは、2025年4月に「ThinkingOne」というハンドルdent を使用する自称データ愛好家が、 2億118万6753件のXレコードを含む。 

ThinkingOneが悪用した脆弱性は、2022年のバグ報奨金プログラムで報告されたもので、攻撃者がメールアドレスや電話番号を使ってユーザーを検索できるというものでした。.

こうした経緯から、Xに対する最近の攻撃者は、dentスタッフィングと呼ばれる手法を使用したのではないかという憶測が広がっている。クレデンシャルスタッフィングとは、自動ツールを使って盗まれたユーザー名とパスワードの組み合わせをログインシステムに対してテストする手法である。. 

ソーシャルメディアのハッキングの31％はdent情報スタッフィングによるもので、盗まれた認証情報が240億組以上流通していると報告されている。あるXに特化したボットネットを発見した研究者たちは、それが12分間に722,763個のdent情報をテストする様子を観察した。.

米国当局はサイバー犯罪の取り締まりを強化しており、ハッキングへの対策にも力を入れている。8月下旬、司法省とFBIは、 中国政府が支援するグループ NASA、連邦準備制度理事会、米国上院などを含む標的に対して使用していた2つのハッキングプラットフォーム、QScanとQTRouterを裁判所の許可を得て押収したと発表した。 

数日後の9月2日、当局はCrowdStrikeとShadowserver Foundationと協力し、 「Sality」を解体した。Salityは23年間にわたり、1100万台以上のデバイスに感染していたと報じられている。