O Departamento de Justiça dos EUA colocou grupos de hackers em alerta após o ciberataque X

O procurador-geral Todd Blanche afirmou que o Departamento de Justiça está a processar os cibercriminosos que bombardearam os utilizadores do X com e-mails não solicitados de redefinição de palavra-passe esta semana.

A plataforma afirma que nenhuma conta foi comprometida porque o ataque foi interrompido a tempo.  

Ataque de redefinição de palavra-passe em X

A 2 de setembro de 2026, o Procurador-Geral Todd Blanche escreveu no X que “centenas de milhares de utilizadores do X” foram afetados por uma tentativa coordenada de sequestro de contas através do processo de recuperação de palavras-passe. Elogiou a empresa por ter interrompido o ataque a tempo e impedido que as contas dos utilizadores fossem comprometidas. 

Blanche acrescentou que os investigadores estão "a trabalhar em estreita colaboração com X para tracos criminosos" 

O ataque veio a público a 1 de setembro, quando os utilizadores começaram a relatar a receção de várias mensagens de redefinição de palavras-passe. Algumas caixas de entrada chegaram a receber cerca de dez e-mails num curto período por volta das 9h30 da manhã, hora do leste dos EUA. 

As mensagens pareciam realmente vir da empresa, uma vez que foram enviadas a partir do e-mail oficial ([email protected]) e continham o código de seis dígitos necessário para completar a reposição. Apesar disso, o engenheiro da X, Mridul Singhai, afirmou que a empresa não encontrou qualquer indício de violação de segurança. Pediu também desculpa pelo grande volume de e-mails. 

Singhai relacionou o ataque com o X Money, o produto de pagamentos de Elon Musk que foi divulgado ao público em julho, sugerindo que os atacantes "acreditam que, agora que o @XMoney está amplamente disponível, podem obter acesso não autorizado às contas".

X já foi pirateado antes? 

Os dados do X estão expostos há anos, após um incidentedent abril de 2025, no qual um autoproclamado entusiasta de dados, usando o pseudónimo "ThinkingOne", publicou um ficheiro de 34 GB com 201.186.753 registos do X, incluindo nomes, endereços de e-mail, nomes de utilizador e número de seguidores. 

A vulnerabilidade explorada pela ThinkingOne surgiu de um relatório de bug bounty de 2022 que permitia aos atacantes pesquisar utilizadores utilizando os seus endereços de e-mail ou números de telefone.

Devido a este historial, especula-se que os mais recentes atacantes do X tenham utilizado uma técnica chamada "dentstuffing", na qual as ferramentas automatizadas testam pares de nome de utilizador e palavra-passe roubados num sistema de login. 

O preenchimentodentstuffing) é responsável por 31% dos ataques às redes sociais, existindo em circulação mais de 24 mil milhões de pares de credenciais roubadas. Os investigadores que encontraram uma botnet focada em X observaram-na a testar 722.763dentnum período de 12 minutos.

As autoridades norte-americanas têm intensificado o combate ao cibercrime e aumentado o foco nos ataques de hackers. No final de agosto, o Departamento de Justiça e o FBI anunciaram a apreensão, autorizada judicialmente, de duas plataformas de hacking, a QScan e a QTRouter, que um grupo patrocinado pelo Estado chinês utilizou contra alvos como a NASA, a Reserva Federal e o Senado dos EUA. 

Dias depois, a 2 de setembro, as autoridades que trabalhavam com a CrowdStrike e a Shadowserver Foundation desmantelaram a Sality, uma botnet com sede na Rússia que terá infetado mais de 11 milhões de dispositivos ao longo de 23 anos de atividade.

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.