Da inizio agosto 2026 migliaia di utenti X segnalano di aver ricevuto email di reset della password che non hanno mai richiesto, insieme ad avvisi di accesso da località sconosciute e, in alcuni casi, blocchi temporanei di account rimasti inattivi per settimane. Il problema reset password X si è intensificato bruscamente proprio il 1° settembre 2026, quando un’ondata particolarmente massiccia di messaggi ha spinto molti a chiedersi se dietro ci fosse una violazione dei dati mai dichiarata.
Summary
Punti chiave
- Gli utenti X ricevono email di reset password e avvisi di login indesiderati almeno da inizio agosto 2026, con un picco il 1° settembre.
- X non ha confermato nuove violazioni dei dati, ma ha aperto un’indagine interna sull’accaduto.
- Le cause probabili risalgono a una falla nell’API di Twitter del 2021-2022 e a un dataset da 201 milioni di record diffuso su BreachForums nel 2025.
- Un botnet ha testato oltre 4,8 milioni di credenziali X, confermando 18 account compromessi in una finestra di appena 12 minuti.
- Parallelamente, una campagna di phishing attiva da luglio 2026 imita gli avvisi di accesso reali di X per sottrarre password.
Ondata di email di reset password indesiderate colpisce gli utenti X da agosto 2026
Le email in questione non sono false o contraffatte: arrivano davvero dai sistemi ufficiali di X, il che rende la situazione ancora più inquietante per chi le riceve senza averle richieste. Il fenomeno ricorda quanto accaduto a Instagram lo scorso gennaio, quando un’ondata simile di reset non richiesti coincise con la comparsa online di un dataset legato a 17,5 milioni di account, secondo quanto riportato da Forbes. In quel caso Meta confermò un bug che permetteva a soggetti esterni di innescare i reset, negando però qualsiasi violazione dei propri sistemi interni.
X apre un’indagine ma non conferma nuove violazioni di dati
X non ha ammesso né segnalato alcuna nuova violazione, ma l’azienda è consapevole del problema e lo sta monitorando attivamente. Mridul Singhai, ingegnere del team Product Engineering di X, si è scusato pubblicamente per l’inconveniente spiegando che, al momento, non risulta alcuna prova di compromissione dei sistemi della piattaforma. Secondo Singhai, gli aggressori sembrano credere che, ora che X Money è diventato ampiamente disponibile, il controllo di un account X valga di più, e questo li spingerebbe a tentare l’accesso non autorizzato proprio in questo periodo.
Le origini del problema: falla API del 2021-2022 e i data leak del 2023 e 2025
La causa più probabile dell’ondata attuale non è un attacco recente, ma il riaffiorare di vecchie esposizioni di dati mai del tutto risolte. Una vulnerabilità nell’API di Twitter permise nel gennaio 2022 a un malintenzionato di associare indirizzi email e numeri di telefono agli account degli utenti, generando un dataset che copriva oltre 200 milioni di utenti, oggi catalogato come voce autonoma su Have I Been Pwned. Il fondatore del sito, Troy Hunt, verificò che il 98% degli indirizzi email contenuti in quel dataset era già emerso in violazioni precedenti e scollegate.
Il quadro si è complicato nell’aprile 2025, quando un hacker con lo pseudonimo ThinkingOne ha pubblicato su BreachForums un file da 34 gigabyte contenente 201 milioni di record di utenti X, tra cui nomi utente, indirizzi email, date di creazione dell’account e numero di follower, come riportato da Fox News. I ricercatori di SafetyDetectives hanno verificato un campione di quel database confrontandolo con profili X attivi, confermando che gli indirizzi email corrispondevano ad account reali. Non è la prima volta che Twitter e X si trovano ad affrontare episodi simili: si va dalla vendita di 33 milioni di credenziali nel 2016 a una serie di incidenti documentati nel tempo, incluso un bug del 2023 che permetteva di impossessarsi di un account con un solo clic.
Botnet e phishing: come vengono presi di mira gli account X
Nessuno dei due dataset ha più bisogno di un nuovo attacco informatico per continuare a fare danni: gli indirizzi email in circolazione alimentano da soli due operazioni parallele ancora in corso. I ricercatori di Breakglass Intelligence hanno individuato nell’aprile 2026 un pannello di comando e controllo non protetto che stava eseguendo attacchi di credential stuffing contro gli account X, testando 722.763 combinazioni di credenziali in una sola finestra di osservazione di 12 minuti e confermando 18 nuove compromissioni. Nel corso della sua intera attività, il botnet ha passato al setaccio oltre 4,8 milioni di account X, con l’autenticazione a due fattori che ha bloccato l’85,6% dei tentativi.
A questo si affianca, in modo del tutto indipendente, una campagna di phishing su account X attiva da luglio 2026 che non necessita di alcun dataset rubato per funzionare. Secondo The Guardian, i truffatori inviano email che replicano quasi fedelmente i veri avvisi di “nuovo dispositivo” di X, stesso logo, stessi colori, grammatica corretta, chiedendo di cliccare un link per proteggere l’account. Il link porta a pagine finte create per sottrarre la password o autorizzare un’app malevola: un classico esempio di attacchi botnet a credenziali che non richiedono affatto una violazione reale dei sistemi.
Il disservizio di Proton complica il quadro per alcuni utenti
Alcuni utenti X hanno segnalato di non riuscire a ricevere le email legate al proprio account tramite Proton, il servizio email che molti usano come indirizzo di recupero. Proton ha confermato un disservizio a partire dal 1° settembre 2026, attribuendolo a guasti hardware residui derivanti da un problema di sovraccarico verificatosi la settimana precedente e a una capacità ridotta mentre i tecnici attivano nuove infrastrutture. Al momento non esiste alcun collegamento confermato tra i problemi di Proton e gli incidenti sugli account X: si tratta di due vicende distinte, ma chi utilizza Proton come casella di recupero potrebbe subire ritardi nella ricezione di eventuali email di reset.
Cosa possono fare gli utenti per proteggere l’account
Chi riceve email non richieste dovrebbe innanzitutto verificare che provengano davvero da @X.com o @e.X.com, dato che X non chiede mai la password tramite email. X consiglia di passare dall’autenticazione via SMS a un’app di autenticazione, usare una password unica per la piattaforma, controllare sessioni attive e app collegate, e attivare la funzione “password reset protect” nelle impostazioni di sicurezza dell’account, che richiede una verifica aggiuntiva dell’indirizzo email associato prima di inviare qualsiasi richiesta di reset. Altrettanto importante è non rispondere a chi si offre spontaneamente di aiutare in questi casi: si tratta di truffe note che sfruttano proprio la paura generata da episodi come questo per sottrarre ulteriori credenziali.
Un dato aiuta a inquadrare la reale portata del rischio: quando i ricercatori hanno disattivato il pannello di controllo del botnet di aprile, questo aveva confermato 138 compromissioni su 4,8 milioni di tentativi, una frazione minima, ma che va moltiplicata per i circa 26 miliardi di tentativi di credential stuffing che, secondo le stime del settore, colpiscono ogni mese le pagine di login in tutto il mondo.
FAQ
Le email di reset password non richieste su X sono il segno di una nuova violazione dei dati?
X non ha confermato nessuna nuova violazione e sta ancora indagando. Le email sembrano collegate a vecchie fughe di dati e ad attacchi in corso, non a una violazione recente dei sistemi.
Cosa devono fare gli utenti X se ricevono email di reset password non richieste?
Gli utenti dovrebbero attivare l’autenticazione a due fattori, usare password uniche, controllare le sessioni attive, abilitare la funzione “password reset protect” ed evitare di cliccare su link sospetti.
C’è un collegamento tra i problemi del servizio email Proton e le difficoltà legate agli account X?
Nessun collegamento diretto è stato confermato tra il disservizio hardware di Proton e gli incidenti di sicurezza sugli account X.
Quanto è efficace l’autenticazione a due fattori contro questi attacchi?
L’autenticazione a due fattori ha bloccato circa l’85,6% dei tentativi di credential stuffing effettuati dal botnet che ha preso di mira gli account X.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
