米司法長官トッド・ブランチ氏によると、米司法省(DOJ)とXは今週、数十万件のXアカウントを標的とした大規模なパスワード復元攻撃を共同で調査している。Xはアカウントが侵害される前に攻撃を阻止し、司法省は現在、同社と連携して実行犯の特定を進めている。

この事件は、Xアカウントが偽のトークン配布、エアドロップ、悪意あるリンクの拡散経路として直接利用されうるため、暗号資産ユーザーにとっても特に重要である。

攻撃がXユーザーを標的した経緯

ブランチ氏は、攻撃の背後にいる者を「高度なサイバー犯罪者」と表現したが、攻撃の手口や容疑となる個人・団体については明らかにしなかった。

This week, sophisticated cyber criminals attempted a password-recovery attack on hundreds of thousands of X users. X disrupted the attack to prevent user accounts from being captured. But, as we've shown, the Justice Department will stop at nothing in its pursuit of cyber… — Attorney General Todd Blanche (@AGToddBlanche) September 2, 2026

パスワード復元攻撃は、ユーザーの既存パスワードの解読を試みるのではなく、「パスワードを忘れた」やアカウント復元のプロセスを悪用するもので、攻撃者は大規模なアカウント乗っ取りを試みることができる。こうした攻撃は、アカウント復元におけるSMSやメールによる認証ステップを悪用し、自動化された試行で大量のアカウントを一斉に標的にすることが多い。

ブランチ氏は、Xがアカウントが侵害される前に攻撃を阻止したことを確認した。攻撃の全容は依然として不明であり、DOJもXも、具体的な攻撃手法、標的となったアカウントの正確な数、特定のユーザー層が狙われたかどうかを公表していない。

暗号資産ユーザーが注意すべき理由

Xは、暗号資産プロジェクト、取引所、業界の著名人にとって主要なコミュニケーションチャネルである。そのため、アカウント乗っ取りは単なるSNSのセキュリティ問題にとどまらず、攻撃者が信頼されたアカウントを使ってプロジェクトや幹部になりすまし、フォロワーを偽のエアドロップ、欺瞞的な投資話、悪意あるウェブサイトへ誘導する可能性がある。

こうしたリスクには前例がある。2020年には、イーロン・マスク氏やバラク・オバマ氏、大手暗号資産取引所など、著名なXアカウントが乗っ取られ、Bitcoinのプレゼント詐欺が宣伝された。2024年には、SIMスワップ事件で米国証券取引委員会(SEC)のXアカウントが乗っ取られ、スポットBitcoin ETF承認に関する虚偽の発表が投稿された。

パスワード復元攻撃からXアカウントを守る方法

身に覚えのないXのパスワードリセットメール内のリンクは使用しないこと。Xに直接アクセスし、「設定」>「セキュリティとアカウントアクセス」>「セキュリティ」で「パスワードリセット保護」を有効化する。

SMSではなく、認証アプリまたはハードウェアセキュリティキーで2要素認証を有効化する。これにより、攻撃者がアカウント復元プロセスを悪用しようとした場合の保護が強化される。

このニュースの重要性

今回の大規模なパスワード復元攻撃は、Xアカウントが侵害される前に阻止されたものの、アカウント復元システムが大規模攻撃の標的になりうることを示している。暗号資産ユーザーにとって、Xアカウントの保護は、フォロワーに影響を与え、資金を動かすチャネルを守ることでもある。

出典: DailyCoin

一次ソース: 司法長官トッド・ブランチ氏のX投稿