আমি বিকেলটা কাটিয়েছি অনাকাঙ্ক্ষিত X পাসওয়ার্ড-রিসেট ইমেইলগুলোর পিছু ধাওয়া করে, এর বদলে ধরে নেওয়ার বদলে যে সাইটটা ডাম্প হয়েছে। অনেক মানুষ আসল রিসেট মেইল পেয়েছেন X থেকে, কোনো এলোমেলো স্পুফ ডোমেইন থেকে নয়। কারও কারও কয়েক মিনিটের মধ্যে একাধিক এসেছে। আমারও এসেছে। এই অংশটা সত্যি। X-এর জনসমক্ষে দেওয়া ব্যাখ্যা, প্রোডাক্ট ইঞ্জিনিয়ার মৃদুল সিংহাই-এর কাছ থেকে: আক্রমণকারীরা এখন অ্যাকাউন্টগুলো চায়, যেহেতু X Money এখন ব্যাপকভাবে উপলভ্য, তারা তদন্ত করছে, এবং এখন পর্যন্ত X সিস্টেমে কোনো অনুপ্রবেশের প্রমাণ নেই। তিনি একাধিক ইমেইলের জন্য ক্ষমাও চেয়েছেন। মেকানিজমটা একটা হলিউড হ্যাক-এর চেয়েও বোকামি 😂। যদি Password Reset Protect বন্ধ থাকে, তাহলে X শুধু আপনার পাবলিক ইউজারনেম দিয়েই রিসেট রিকোয়েস্ট নেবে এবং তারপর অ্যাকাউন্টে আগে থেকে থাকা ইমেইল ঠিকানায় মেইল পাঠাবে। তাই: - রিসেট ইমেইল মানে এই নয় যে তারা আপনার ইনবক্স দখলে নিয়েছে - এটা মানে এই নয় যে X আজই তার ডেটাবেস লিক করেছে - শুধু পাবলিক হ্যান্ডেলের লিস্টই যথেষ্ট এই কারণেই আজ স্পাইক করেছে। X Money গ্রীষ্মকালে US Premium / Premium+ ব্যবহারকারীদের জন্য রোল আউট হয়েছিল। ওয়ালেট, P2P, Visa কার্ড। এখন ওই অ্যাকাউন্টগুলো দেখতে ওয়ালেটের মতোই লাগে। এটা X নিজে যা বলেছে, তার সঙ্গেই মেলে। একই হ্যান্ডেল বারবার সাবমিট হলে বহু ইমেইল আসা ব্যাখ্যা হয়। একটাই স্ক্রিপ্ট, বা কয়েকটা বট এক লিস্ট শেয়ার করছে। ভলিউমটাই “স্প্রে”, নতুন কোনো মূল সিস্টেম ব্রিচের প্রমাণ নয়। আমি @commonsmade-কে নিয়ে যে থিওরি ছিল যে ওটা পপড হয়েছে কারণ মানুষ এয়ারড্রপের জন্য X কনেক্ট করেছিল, সেটাও চেক করেছি, এই মুহূর্তে সেটা সত্য নয়। শুধু হ্যান্ডেল-ভিত্তিক OAuth লিস্ট ইনবক্স লিক না করেই এই কাজটা ফিড করতে পারে। যারা কখনো ওই অ্যাপ ছুঁয়েও দেখেনি, তারাও একই অফিসিয়াল X মেইল পাচ্ছে। যদি উভয় গ্রুপই হিট হয়, তাহলে commonsmade সর্বোচ্চ পুরোনো পাবলিক ডাম্পগুলোর মধ্যে একটি লিস্ট মাত্র। এটাকে সূত্র হিসেবে ধরুন, সিদ্ধান্ত হিসেবে নয়। যা আমি পাবলিক ডেটা থেকে বের করতে পারিনি: অপারেটর কে, কোন মেশিন ফর্মে হিট করছে, নিশ্চিত কোনো commonsmade ব্রিচ, বা নিশ্চিত কোনো নতুন X অবকাঠামো ব্রিচ। X সোর্স IP দেখতে পারে। আমি পারি না। যা আমি করেছি: Password Reset Protect অন, অ্যাপ দুই স্তরের যাচাইকরণ, যেসব সেশন চিনতে পারিনি সেগুলো রিভোক করেছি। ঐ ইমেইলগুলোর কোনো কিছুর ওপর আমি ক্লিক করছি না। যদি দ্বিতীয় একটা মেইল আসে, যা X support-এর মতো দেখতে, সেটাই ফিশিং পাস। আপনি যদি হিট হয়ে থাকেন, আমাকে তিনটা জিনিস বলুন: Reset Protect অন ছিল না অফ, X Money অন ছিল না অফ, আর আপনি X-কে কোনো এয়ারড্রপ বা অন্য কোনো অ্যাপের সঙ্গে কনেক্ট করেছিলেন কি না। আমি প্যাটার্নটা জানতে চাই, হয়তো আমরা কিছুটা এগোতে পারব।