Antes, tomar el control de una cuenta en X daba audiencia; ahora también puede generar ingresos.

El secuestro de una cuenta de X siempre ha sido valioso para los estafadores: un perfil grande ofrece una audiencia ya formada, la confianza de los seguidores y la posibilidad de difundir phishing en nombre de otra persona. Tras el lanzamiento de X Money las apuestas aumentaron. Para algunos usuarios estadounidenses la cuenta de la red social ahora está vinculada a un servicio financiero, y los pagos que X comenzó a realizar a los creadores se envían directamente allí.

Casi de inmediato los usuarios se enfrentaron a una ola de correos inesperados para restablecer la contraseña. Algunos recibieron varias solicitudes seguidas, aunque no iniciaron la recuperación de acceso. El ingeniero de X, Mridul Singhai, confirmó la investigación y sugirió que la amplia disponibilidad de X Money atrajo a los delincuentes. La empresa aún no ha encontrado indicios de un hackeo masivo exitoso de cuentas.

Una solicitud de cambio de contraseña por sí sola no significa una compromisión. Una persona externa puede iniciar la recuperación de acceso y entonces X enviará un código al correo o al teléfono vinculados al propietario. Sin embargo, las solicitudes masivas permiten a los atacantes buscar cuentas más débiles y pueden convertirse en el primer paso de ingeniería social, robo de códigos o el secuestro del buzón de correo.

La motivación financiera se hizo notablemente más fuerte el 2 de septiembre. Según las normas de pagos, los participantes estadounidenses del programa Original Content Rewards reciben sus ganancias a través de X Money, mientras que los creadores de otros países siguen cobrando mediante Stripe. A través de X Money también se paga el ingreso por suscripciones. Solo se permite vincular una cuenta financiera a un único perfil de X.

X Money ya recuerda a una aplicación bancaria dentro de la red social. El servicio permite guardar dinero, enviar transferencias instantáneas a otros usuarios de X, recibir el sueldo mediante depósitos directos, pagar facturas y usar una tarjeta de débito Visa. Las cuentas las gestiona Cross River Bank, y X promete una rentabilidad de hasta el 6 % anual al cumplir ciertas condiciones y un 3 % de reembolso por compras elegibles.

Aun así, el secuestro de una cuenta ordinaria de X no garantiza el acceso inmediato al saldo. Para entrar en Money se requiere una clave de acceso vinculada al dispositivo y protegida por biometría o por un PIN. Este esquema complica sustancialmente el robo directo de dinero, aunque el valor del propio perfil para los delincuentes aumenta junto con la cantidad de funciones financieras.

Al caso se sumó el Departamento de Justicia de Estados Unidos. El fiscal general Todd Blansh declaró que los atacantes apuntaron a cientos de cuentas y que X logró frustrar intentos de captura. En medio de la ola de restablecimientos, la empresa recomienda a los usuarios activar la autenticación de dos factores y la función Password Reset Protect, que exige indicar el correo electrónico o el número de teléfono vinculados antes de enviar el código de recuperación.

Las consecuencias financieras de un posible secuestro de cuenta ahora exigen una respuesta más rápida. En las normas de X Money se indica que la responsabilidad por transferencias electrónicas no autorizadas puede depender de la rapidez con que el usuario informe sobre una operación sospechosa. Para entrar en Money es obligatoria la clave de acceso, y ante la sospecha de una compromisión X aconseja cambiar la contraseña de inmediato, bloquear la tarjeta y contactar con el servicio de soporte.