Xの決済サービス「X Money」の展開拡大後、ユーザーに身に覚えのないパスワード再設定メールが相次いでいる。現時点で、アカウント乗っ取りやXのシステム侵害を示す証拠は確認されていない。

1日（現地時間）、TechCrunchによると、多数のXユーザーが、自ら申請していないパスワード再設定メールを繰り返し受け取ったと報告した。

これについて、Xのプロダクトエンジニア、ミルドゥル・シンガイ氏は、「X Moneyの提供拡大を受け、攻撃者がアカウントへの不正アクセスを狙った可能性がある」と説明した。そのうえで、同社が関連事案の調査を進めており、現時点では実害を裏付ける侵害の証拠は見つかっていないと明らかにした。

X Moneyは、Xが米国で提供を始めた金融サービス。ユーザーはアカウントを通じて送金や請求書の支払いができ、Visa加盟店で利用可能な「Xカード」も提供される。Xは今後、クリエイターへの収益分配にもX Moneyのアカウントを活用する計画だ。

一方、公式ページでは、現時点の対象を米国内の一部の18歳以上のユーザーに限定している。

今回確認された事象は、パスワードそのものを直接盗み取るというより、公開されているユーザー名などを使って、Xのパスワード再設定要求を大量に送ったものとみられる。再設定メールを受け取ったこと自体は、アカウントが侵害されたことを意味しない。

実際にパスワードを変更するには、登録メールアドレスや電話番号など、追加の認証手段へのアクセスが必要になる。

こうしたなか、Xの法務責任者ジェームズ・バーナム氏は、法務・セキュリティチームがユーザーを狙う攻撃者を特定し、責任を追及する方針を示した。

Xは、望まない再設定要求が繰り返される場合、パスワード再設定保護を有効にし、二要素認証を設定するよう推奨している。二要素認証では、認証アプリやセキュリティキーを利用できる。