Xマネー拡大に伴うパスワードリセットメール急増をX社が調査、情報漏えいは確認されず

Xマネーのパスワードリセットメール急増をX社が調査で情報漏えいは確認されず

ソーシャルメディアプラットフォームのXにおいて、身に覚えのないパスワードリセット要求や認証コード通知が届く事象がユーザーの間で急増している。

Attackers appear to believe that, now that @XMoney is widely available, they can gain unauthorized access to accounts. We are actively investigating the issue and, so far, have found no evidence of any breaches.

We apologize for the multiple emails and appreciate your patience… https://t.co/zf1pRWbqBX

— Mridul Singhai (@singhai) September 1, 2026

攻撃者がリセット機能を悪用してアカウント乗っ取りを試みている懸念が生じており、X側が調査に乗り出す事態となっている。Xのプロダクトエンジニアリングチームに所属するムリドゥル・シンハイ（Mridul Singhai）氏は、予期せぬリセットメールの報告を受け調査を進めているものの、現時点でXの内部インフラやシステムが侵入された証拠は見つかっていないと説明。第三者がユーザー名やメールアドレスを入力するだけで復旧手続きを開始できる仕様を突かれた形だ。

シンハイ氏は、Xが米国の有料会員（PremiumおよびPremium+）向けに送金機能「X Money」の提供を開始したことが背景にあると指摘。アカウントを乗っ取ることで得られる金銭的価値が高まったと攻撃者が認識し、不正アクセスの新たなターゲットとして狙われている可能性がある。

アカウントの安全性を高める防衛策

身に覚えのないリセット通知を受信した場合でも、メール内のリンクを開いたりコードを第三者に共有したりしないことが重要だ。X側は被害を防ぐため、以下の対策を呼びかけている。

パスワードリセット保護の有効化：
設定をONにすることで、リセット手続きの開始時に追加の本人確認情報（登録メールアドレスや電話番号）が必須となり、第三者による無作為なリセット要求を遮断できる。
二段階認証（2FA）の導入：
認証アプリや物理セキュリティキーなどを設定し、ログイン時のセキュリティを強化する。
正規ドメインの確認：
Xからの公式メールは「@x.com」または「@e.x.com」から送信される。ログイン画面を開く際は、アドレスが「x.com」であることを確認するか、アプリから直接アクセスすることが推奨されている。

金融プラットフォームとしての機能拡充と今後の展望

今回のトラブルの背景にあるX Moneyは、Cross River Bank（クロス・リバー・バンク）のインフラを活用し、プラットフォーム上でユーザー同士の即時送金や預金口座運用を可能にする機能だ。最大1,000万ドル（約16億円）までのパススルーFDIC（連邦預金保険公社）保険が適用されるなど、本格的な金融サービスとして設計されている。

さらにXは、クリエイター向け報酬プログラムの改定に伴い、支払手段としてUSDCなどのステーブルコイン導入を検討しているとも報じられている。暗号資産の正式対応については公表されていないが、金融機能の拡大が進むにつれ、ユーザー個人のアカウントセキュリティ対策の重要性はますます高まっている。