Por Canuto  

El fiscal general interino Todd Blanche aseguró que el Departamento de Justicia trabaja con X para identificar a los responsables de un ataque que envió oleadas de correos legítimos de recuperación de contraseñas a cientos de miles de usuarios. La plataforma afirma que detuvo el intento antes de que los atacantes tomaran cuentas, aunque el episodio vuelve a poner bajo escrutinio sus antecedentes de exposición de datos y el riesgo del credential stuffing.

***

  • Todd Blanche dijo que el Departamento de Justicia rastrea a los responsables del ataque coordinado contra usuarios de X.
  • X afirmó que interrumpió el intento de secuestro de cuentas antes de que se produjeran accesos no autorizados.
  • El DOJ y el FBI también incautaron herramientas vinculadas a China y ayudaron a desmantelar la botnet rusa Sality.

 

 

El fiscal general interino de Estados Unidos, Todd Blanche, afirmó que el Departamento de Justicia persigue a los ciberdelincuentes que bombardearon a usuarios de X con correos electrónicos no solicitados para restablecer contraseñas.

La plataforma sostuvo que interrumpió el ataque antes de que los delincuentes pudieran capturar cuentas, pero la operación generó inquietud porque los mensajes incluían códigos genuinos y parecían proceder de los canales oficiales de la empresa.

El episodio ocurrió en un momento de mayor atención sobre la seguridad de X y sobre los posibles incentivos económicos asociados con X Money, el producto de pagos de Elon Musk que se abrió al público en julio. Aunque la compañía no confirmó una nueva filtración, el volumen del ataque y los antecedentes de exposición de datos dejaron abiertas preguntas sobre las técnicas utilizadas y sobre el alcance real de la amenaza.

Una oleada de correos con códigos legítimos

Los usuarios comenzaron a reportar el ataque el 1 de septiembre de 2026, cuando sus bandejas de entrada recibieron numerosas solicitudes de recuperación que no habían iniciado. Algunos informes describieron alrededor de diez mensajes en un periodo breve, cerca de las 9:30 a.m., hora del Este, una frecuencia suficiente para dificultar la identificación del correo válido y aumentar el riesgo de que una persona actuara bajo presión.

Los mensajes no parecían simples imitaciones diseñadas para robar credenciales, ya que fueron enviados desde la dirección oficial de X, [email protected], e incluían el código de seis dígitos necesario para completar un restablecimiento. Esa característica elevó la preocupación entre los usuarios, porque un correo auténtico puede resultar más persuasivo que una campaña tradicional de suplantación, incluso cuando la víctima nunca solicitó cambiar su contraseña.

El 2 de septiembre, Blanche escribió en X que cientos de miles de usuarios habían sido afectados por un intento coordinado de secuestrar cuentas mediante el flujo de recuperación de contraseñas. El funcionario atribuyó a la plataforma la interrupción oportuna del ataque y añadió que los investigadores trabajaban estrechamente con X para rastrear a los responsables, una declaración que convierte el incidente en un asunto de interés directo para las autoridades federales.

Mridul Singhai, ingeniero de X, dijo que la empresa no había encontrado señales de una brecha y se disculpó por el volumen de correos enviados. Singhai vinculó la actividad con X Money y sugirió que los atacantes podrían creer que la disponibilidad generalizada del servicio les ofrece un incentivo adicional para buscar acceso no autorizado a cuentas, aunque esa conexión todavía no equivale a una confirmación de robo de fondos.

Qué se sabe sobre el riesgo para las cuentas

Un ataque de recuperación de contraseña puede perseguir objetivos distintos, desde provocar molestias masivas hasta obtener control de perfiles que contienen información personal, audiencias grandes o acceso a servicios financieros. En este caso, X aseguró que detuvo la operación antes de que las cuentas fueran comprometidas, por lo que la información disponible no demuestra que los atacantes hayan logrado iniciar sesión o modificar credenciales.

La incertidumbre aumenta por el historial de datos expuestos asociado con la plataforma. En abril de 2025, un autodenominado entusiasta de los datos que utilizaba el alias ThinkingOne publicó un archivo de 34 GB con 201.186.753 registros de X, incluidos nombres, direcciones de correo electrónico, nombres de usuario y conteos de seguidores.

La vulnerabilidad que habría aprovechado ThinkingOne se relacionaba con un informe del programa de recompensas por errores de 2022. Según la información publicada, ese problema permitía buscar usuarios mediante su dirección de correo electrónico o número telefónico, datos que pueden servir como punto de partida para campañas automatizadas contra servicios de acceso y recuperación.

Por ese antecedente surgió la especulación de que el incidente más reciente pudo involucrar credential stuffing, una técnica que prueba de forma automatizada combinaciones de nombres de usuario y contraseñas obtenidas en robos anteriores. Los datos citados en la información de origen señalan que esta práctica representa 31% de los hackeos contra redes sociales y que existen más de 24.000 millones de pares de credenciales robadas en circulación.

Una respuesta federal más agresiva

La advertencia de Blanche se produce junto con una serie de acciones recientes del Departamento de Justicia y del FBI contra infraestructura utilizada por grupos de hackers. A finales de agosto, ambas agencias anunciaron incautaciones autorizadas por tribunales de las plataformas QScan y QTRouter, herramientas que, según las autoridades, fueron utilizadas por un grupo patrocinado por el Estado chino.

Las operaciones vinculadas con QScan y QTRouter afectaron objetivos que incluían a la NASA, la Reserva Federal y el Senado de Estados Unidos. La incautación de plataformas de este tipo busca interrumpir los servicios y herramientas que permiten a terceros ejecutar intrusiones, en lugar de limitarse a investigar cada ataque de forma aislada después de que ocurre.

El 2 de septiembre, autoridades que trabajaron con CrowdStrike y la Shadowserver Foundation también desmantelaron Sality, una botnet con base en Rusia. Según los informes citados, esa red habría infectado más de 11 millones de dispositivos durante 23 años, una escala que ilustra cómo una infraestructura maliciosa puede permanecer activa durante largos periodos y expandirse mucho más allá de sus primeros objetivos.

Investigadores que identificaron una botnet enfocada en X observaron que probó 722.763 credenciales en apenas 12 minutos, un ritmo que sería imposible de replicar manualmente y que muestra el papel de la automatización en estas campañas. Para los usuarios, el incidente refuerza la necesidad de revisar solicitudes de recuperación no iniciadas, utilizar contraseñas únicas y desconfiar de cualquier mensaje que intente acelerar una decisión sobre la cuenta.

Qué implica el incidente para X Money

La mención de X Money introduce una dimensión adicional porque una cuenta comprometida podría tener un valor mayor cuando sirve como puerta de entrada a funciones de pagos o a información financiera. Sin embargo, ni X ni las autoridades citadas confirmaron que el producto haya sido vulnerado, que se hayan sustraído fondos o que alguna cuenta haya sido tomada durante la oleada de correos.

La hipótesis planteada por Singhai se limita a la posible motivación de los atacantes y no establece por sí sola el método empleado. Un grupo podría aprovechar credenciales reutilizadas, datos expuestos en incidentes anteriores o fallas en los flujos de recuperación, pero la información disponible no identifica públicamente a los responsables ni determina cuál de esas posibilidades fue decisiva.

La diferencia entre un correo legítimo y una cuenta efectivamente comprometida resulta central para evaluar el alcance del episodio. Los mensajes auténticos demostraron que alguien activó repetidamente el mecanismo de recuperación, pero la afirmación de X de que no encontró señales de una brecha y detuvo el ataque impide concluir que la operación haya producido accesos exitosos.

La investigación federal deberá aclarar cómo obtuvieron los atacantes las direcciones objetivo, si utilizaron bases de datos previamente filtradas y si existió una relación verificable con X Money. Mientras tanto, el caso combina una advertencia penal contundente, una respuesta técnica de la plataforma y un recordatorio para los usuarios: el control de una cuenta digital puede convertirse en un objetivo de alto valor incluso antes de que ocurra un robo confirmado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados