El servicio de pagos de X se estrena con problemas: sufre un intento masivo de pirateo

El lanzamiento de X Money, la nueva plataforma de pagos integrada en la red social X, ha quedado bajo la sombra de un posible intento masivo de ataque contra los usuarios. La compañía ha alertado de una actividad sospechosa después de que numerosas personas recibieran correos electrónicos no solicitados para restablecer la contraseña de sus cuentas, lo que ha despertado temores sobre una campaña de phishing dirigida a obtener credenciales de acceso.

Por el momento, X no ha confirmado que las cuentas hayan sido vulneradas ni que los intentos hayan tenido éxito. La investigación continúa, mientras la principal hipótesis apunta a que los atacantes estarían utilizando de forma masiva el formulario de recuperación de contraseñas a partir de nombres de usuario disponibles públicamente.

El incidente adquiere una dimensión mayor por la reciente expansión de X Money, un servicio que permite almacenar fondos, enviar y recibir pagos y realizar transferencias entre particulares sin salir de la plataforma. El acceso a una cuenta comprometida podría, por tanto, tener consecuencias que van más allá de la exposición de mensajes o datos personales.

Correos inesperados de restablecimiento de contraseña

El problema comenzó a llamar la atención después de que distintos usuarios de X informaran haber recibido mensajes para restablecer su contraseña sin haber iniciado ellos mismos el proceso.

Recibir un correo de este tipo no significa automáticamente que una cuenta haya sido hackeada. Los sistemas de recuperación de contraseñas pueden activarse simplemente al introducir un nombre de usuario o una dirección de correo electrónico en el formulario correspondiente.

Sin embargo, la situación ha generado preocupación porque varios usuarios aseguran haber recibido posteriormente mensajes que aparentan ser comunicaciones legítimas de X, pero que incluyen enlaces falsos para cambiar la contraseña.

Esta combinación ha alimentado la sospecha de que podría tratarse de una campaña en varias fases. En una primera etapa, los atacantes provocarían una gran cantidad de solicitudes legítimas de restablecimiento para generar confusión y hacer creer a los usuarios que existe un problema de seguridad.

Posteriormente, podrían enviar mensajes fraudulentos imitando a la plataforma y aprovechar el temor para convencer a las víctimas de introducir sus credenciales en una página falsa.

El riesgo de un ataque de phishing

Este tipo de estrategia es especialmente peligrosa porque se apoya en un elemento real. Si un usuario acaba de recibir un mensaje auténtico relacionado con el restablecimiento de su contraseña, es más probable que considere legítimo un segundo correo que le pida actuar rápidamente.

Los enlaces fraudulentos pueden conducir a páginas diseñadas para imitar el aspecto de X. Si la víctima introduce allí su nombre de usuario y contraseña, esa información podría terminar directamente en manos de los atacantes.

Por ello, el principal riesgo no sería necesariamente el correo inicial de recuperación, sino la posible campaña de phishing que podría desarrollarse posteriormente.

Los usuarios han recurrido a la propia plataforma para advertir a otras personas y recomendar la activación de la autenticación en dos pasos como una capa adicional de protección. Esta medida puede impedir que un atacante acceda a una cuenta incluso si logra obtener la contraseña, ya que se requiere un segundo método de verificación.

El chatbot Grok también ha respondido a algunas publicaciones relacionadas con el incidente, compartiendo recomendaciones de seguridad para evitar posibles fraudes.

X Money aumenta las consecuencias de una cuenta comprometida

La alerta llega apenas después de la expansión de X Money. El servicio comenzó a funcionar en julio mediante un sistema limitado a invitaciones y el 31 de agosto amplió su disponibilidad a los suscriptores Premium y Premium+.

La plataforma busca convertir a X en un espacio donde los usuarios puedan gestionar pagos y transferencias entre particulares. Esta integración hace que la protección de las cuentas adquiera una importancia adicional.

Hasta ahora, la vulneración de una cuenta en una red social podía implicar la exposición de mensajes privados, publicaciones o información personal. Con la incorporación de funciones financieras, un acceso no autorizado podría tener consecuencias económicas directas.

Por este motivo, la compañía ha reaccionado públicamente al posible ataque. James Burnham, asesor jurídico general de X, afirmó que los equipos legales y de seguridad buscarán identificar y llevar ante la justicia a quienes intenten perjudicar a los usuarios de la plataforma.

Una investigación abierta

Por ahora, X continúa investigando el origen de los correos y no existen pruebas públicas de que los atacantes hayan conseguido acceder de forma masiva a las cuentas. Tampoco se ha confirmado oficialmente la existencia de una brecha en los sistemas de la compañía.

La recomendación para los usuarios es evitar utilizar los enlaces incluidos en mensajes inesperados y acceder directamente a la aplicación o al sitio oficial para comprobar cualquier alerta relacionada con la cuenta.

También resulta recomendable activar la autenticación en dos pasos y desconfiar de correos que generen urgencia para forzar un cambio inmediato de contraseña.

El incidente supone una primera prueba de seguridad para X Money en un momento delicado. La llegada de un sistema de pagos convierte a las cuentas de los usuarios en un objetivo potencialmente más atractivo para los ciberdelincuentes y aumenta la presión sobre la compañía para demostrar que puede proteger una plataforma que ahora aspira a gestionar no solo conversaciones y contenido, sino también dinero.