Les utilisateurs de X ont reçu des e-mails de réinitialisation de mot de passe non demandés qui étaient authentiques et provenaient des propres systèmes de X, et X a reconnu le problème sans confirmer une nouvelle violation de données. X a déclaré qu’il enquêtait activement sur une possible exposition de données et n’a trouvé aucune preuve de violations jusqu’à présent.
La situation fait suite à une vulnérabilité de l’API Twitter en janvier 2022 affectant plus de 200 millions d’utilisateurs, une entrée Have I Been Pwned répertoriant 211 524 284 adresses e-mail uniques, et un post BreachForums d’avril 2025 contenant un fichier de 34 Go avec 201 millions de dossiers d’utilisateurs de X.
Une vulnérabilité de l’API de Twitter en janvier 2022 a permis de faire correspondre les adresses e-mail et les numéros de téléphone avec des comptes Twitter, entraînant un ensemble de données décrit comme couvrant plus de 200 millions d’utilisateurs. Cette vulnérabilité a permis d’associer des coordonnées avec des dossiers de compte. L’ensemble de données résultant de cette vulnérabilité a été rapporté et examiné en 2022 et 2023.
Have I Been Pwned contient une entrée qui catalogue les données et recense 211 524 284 adresses e-mail uniques. L’ensemble de données a été rapporté par Troy Hunt sur Have I Been Pwned. Une analyse de la liste a révélé que 98 % des adresses étaient apparues dans des violations antérieures.
Ces éléments—la vulnérabilité de l’API de janvier 2022, l’entrée Have I Been Pwned et la statistique de chevauchement de 98 %—sont tous des éléments documentés d’expositions antérieures d’informations de contact liées aux comptes Twitter/X. Ils constituent le contexte enregistré mentionné dans la couverture des incidents liés aux comptes qui ont suivi.
En janvier, Instagram a connu une alerte de sécurité liée à 17,5 millions de comptes, pendant laquelle les utilisateurs ont reçu des e-mails de réinitialisation de mot de passe non sollicités. Forbes a rapporté qu’un bogue avait permis l’envoi de ces e-mails de réinitialisation non sollicités. Les rapports décrivaient l’incident comme provenant d’un problème côté plateforme plutôt que d’une usurpation d’e-mail externe. La couverture médiatique a noté l’ampleur des comptes affectés et le rôle du bogue dans le déclenchement des messages de réinitialisation.
Les utilisateurs de X ont également reçu des e-mails de réinitialisation de mot de passe non sollicités qui étaient réels et provenaient des propres systèmes de X, et X a reconnu le problème tout en affirmant qu’il enquêtait sur une possible exposition de données sans confirmer une nouvelle violation de données. X a déclaré n’avoir trouvé aucune preuve de violations jusqu’à présent. Tant l’incident d’Instagram que l’activité de X impliquaient des e-mails de réinitialisation non sollicités liés à un bogue logiciel ou à une exposition potentielle. La similarité thématique est que les utilisateurs dans les deux cas ont reçu des communications de réinitialisation de compte liées à des problèmes côté plateforme plutôt qu’à une usurpation d’e-mail externe.
X a reconnu les e-mails de réinitialisation de mot de passe non sollicités, a déclaré qu’il enquêtait activement sur une possible exposition de données, et a rapporté que les enquêteurs n’avaient trouvé aucune preuve de violations jusqu’à présent. L’entreprise a fait référence à des liens avec des expositions historiques documentées dans des incidents antérieurs — y compris la vulnérabilité de l’API Twitter de janvier 2022 et des ensembles de données catalogués dans Have I Been Pwned et des publications connexes — et a déclaré qu’il était possible que la récente affluence d’e-mails de réinitialisation soit liée à une exposition de données vieille de plusieurs années, même si elle n’a pas confirmé une nouvelle violation.
