Pengguna X telah menghabiskan beberapa minggu terakhir menerima email reset kata sandi yang tidak pernah mereka minta, termasuk lonjakan besar hari ini.

Beberapa pengguna X juga melihat peringatan login dari lokasi yang tidak dikenal, dan beberapa melaporkan akun mereka terkunci sementara padahal sudah berminggu-minggu tidak mereka sentuh.

Email reset tersebut asli, bukan spoofing—mereka berasal dari sistem X sendiri. Jadi, email tersebut sah, namun tidak diminta oleh pemilik akun yang sah, dan inilah yang membuat semua orang panik saat ini.

Ini adalah pengaturan yang tidak asing. Pengguna Instagram mengalami ketakutan yang hampir sama pada bulan Januari, ketika email reset yang tidak diminta bertepatan dengan kemunculan dataset yang terkait dengan 17,5 juta akun di forum dark web beberapa jam sebelumnya, lapor Forbes saat itu. Meta kemudian mengonfirmasi bahwa bug memungkinkan pihak luar memicu email reset, sambil menyangkal adanya pelanggaran pada sistemnya sendiri.

Cacat Lama yang Terus Memicu Ketakutan Baru

X belum mengakui atau melaporkan adanya pelanggaran data baru-baru ini, namun perusahaan menyadari situasinya. Dalam tweet terbaru, insinyur X Mridul Singhai meminta maaf atas ketidaknyamanan tersebut dan mengatakan mereka tidak menyadari adanya pelanggaran baru, dan peretas tampaknya berusaha mengendalikan akun X dalam upaya mendapatkan akses ke X money.

Ada kemungkinan bahwa lonjakan email baru-baru ini terkait dengan eksposur lama yang mungkin muncul kembali. Kerentanan dalam API Twitter memungkinkan penyerang untuk mencocokkan alamat email dan nomor telepon dengan akun pada Januari 2022, dan dataset yang dihasilkan mencakup lebih dari 200 juta pengguna kini dikatalogkan sebagai entri tersendiri di Have I Been Pwned. Pendiri situs Troy Hunt menemukan bahwa 98% alamat dalam dataset tersebut telah muncul dalam pelanggaran sebelumnya yang tidak terkait.

File yang lebih baru memperparah masalah. Pada April 2025, seorang peretas dengan nama pengguna ThinkingOne memposting file berukuran 34 gigabyte yang berisi 201 juta catatan pengguna X—nama layar, alamat email, tanggal pembuatan akun, jumlah pengikut—di forum BreachForums, menurut Fox News.

Peneliti di SafetyDetectives memeriksa sampel terhadap profil X yang aktif dan mengonfirmasi bahwa email tersebut cocok dengan akun aktif. Twitter dan X telah menangani versi ini sebelumnya, mulai dari penjualan 33 juta login pada tahun 2016 hingga serangkaian insiden yang telah dicatat Decrypt selama bertahun-tahun, termasuk bug tahun 2023 yang memungkinkan siapa pun mengambil alih akun dengan satu klik sebelum seorang peneliti yang menemukannya malah dilarang daripada dibayar.

Bot Melakukan Tugas Berat, dan Phishing Melakukan Sisanya

Tidak ada dataset yang membutuhkan peretasan baru untuk terus menyebabkan kerusakan. Alamat email yang beredar mendukung dua operasi yang sedang berlangsung.

Peneliti di Breakglass Intelligence menemukan panel command-and-control yang tidak aman pada April 2026 yang secara aktif menjalankan kredensial curian terhadap akun X, menguji 722.763 pasangan dalam jendela observasi 12 menit dan mengonfirmasi 18 kompromi baru.

Selama masa aktifnya, botnet tersebut telah menjalankan lebih dari 4,8 juta akun X melalui pemeriksa, dengan otentikasi dua faktor memblokir 85,6% upaya.

Secara terpisah, kampanye phishing yang tidak ada hubungannya dengan dataset apa pun telah menargetkan pengguna X sejak Juli. Penipu mengirim email yang hampir menyerupai peringatan "login perangkat baru" X yang asli—logo yang sama, warna yang sama, tata bahasa yang benar—meminta penerima untuk mengklik tautan untuk mengamankan akun mereka, lapor The Guardian. Tautan tersebut mengarah ke halaman palsu yang dibuat untuk mencuri kata sandi atau mengotorisasi aplikasi berbahaya, dan kampanye ini sama sekali tidak memerlukan pelanggaran untuk berfungsi.

Beberapa pengguna X mengatakan mereka juga melihat aktivitas reset yang tidak diminta pada layanan email Proton sekitar waktu yang sama. Proton mengonfirmasi gangguan tersebut dan sedang menangani masalahnya.

Baik Proton maupun peneliti keamanan mana pun belum mengonfirmasi adanya hubungan, namun ini penting jika itu adalah email yang Anda gunakan untuk akun X Anda.

Apa yang Harus Dilakukan Mengenai Hal Ini

Dokumentasi bantuan X sendiri mengonfirmasi bahwa mereka secara proaktif mereset kata sandi untuk akun yang ditandai sebagai disusupi atau ditargetkan oleh phishing, mengirimkan email ke alamat terdaftar akun dengan instruksi. Jika salah satu email tersebut tiba tanpa Anda minta, seseorang kemungkinan besar telah mencoba kredensial Anda, atau Anda telah menjadi target salah satu email phishing.

Periksa alamat pengirim sebelum mengklik apa pun. X mengatakan hanya mengirim email dari @X.com atau @e.X.com dan tidak pernah meminta kata sandi melalui email. Selain itu, alihkan otentikasi dua faktor ke aplikasi otentikator, gunakan kata sandi unik untuk X, dan periksa sesi aktif akun Anda serta aplikasi yang terhubung untuk mencari sesuatu yang tidak dikenal.

Satu hal penting yang harus dilakukan adalah mencentang kotak "lindungi reset kata sandi" pada opsi “keamanan dan akses akun” dalam konfigurasi X. Ini menambahkan lapisan keamanan lain, yang meminta verifikasi alamat email terkait sebelum permintaan reset kata sandi dikirimkan.

Juga, jangan menghubungi siapa pun yang menawarkan bantuan. Ini adalah penipuan yang sudah dikenal yang muncul ketika orang menyebutkan kata kunci tertentu atau meminta bantuan mengenai topik keamanan tertentu. Tautan di bawah ini adalah contoh.

Satu hal lagi yang perlu diketahui jika Proton adalah kotak masuk yang terhubung dengan akun X Anda: Halaman status Proton melaporkan gangguan layanan pada tanggal 1 September, mengaitkannya dengan kegagalan perangkat keras sisa dari insiden panas berlebih seminggu sebelumnya dan berkurangnya kapasitas sementara para insinyur mengaktifkan infrastruktur tambahan. Ini tidak terhubung dengan aktivitas X, tetapi dapat menunda email reset sampai kepada Anda jika Anda membutuhkannya.

Pada saat peneliti menonaktifkan panel kontrol botnet April, botnet tersebut telah mengkonfirmasi 138 kompromi akun dari 4,8 juta percobaan—sebagian kecil dari persentase, tetapi satu yang berlipat ganda di antara sekitar 26 miliar upaya credential-stuffing yang diperkirakan oleh peneliti industri menghantam halaman login di seluruh dunia setiap bulan.