Problema de redefinição de senha X: milhares de relatos, mas é um ataque?

Desde o início de agosto de 2026, milhares de utilizadores X relataram ter recebido e-mails de redefinição de senha que nunca solicitaram, juntamente com avisos de acesso de locais desconhecidos e, em alguns casos, bloqueios temporários de contas que permaneceram inativas por semanas. O problema de redefinição de senha X intensificou-se abruptamente no dia 1 de setembro de 2026, quando uma onda particularmente massiva de mensagens levou muitos a questionar se havia uma violação de dados nunca declarada.

Resumo

• Pontos-chave
• Onda de e-mails de redefinição de senha indesejados atinge os utilizadores X desde agosto de 2026
• X abre uma investigação, mas não confirma novas violações de dados
• As origens do problema: falha na API de 2021-2022 e os vazamentos de dados de 2023 e 2025
• Botnet e phishing: como as contas X são alvo
• O problema do Proton complica a situação para alguns utilizadores
• O que os utilizadores podem fazer para proteger a conta
• FAQ
  • Os e-mails de redefinição de senha não solicitados no X são sinal de uma nova violação de dados?
  • O que devem fazer os utilizadores X se receberem e-mails de redefinição de senha não solicitados?
  • Existe uma ligação entre os problemas do serviço de e-mail Proton e as dificuldades relacionadas com as contas X?
  • Quão eficaz é a autenticação de dois fatores contra esses ataques?

Pontos-chave {#Pontos_chave}

• Os utilizadores X recebem e-mails de redefinição de senha e avisos de login indesejados pelo menos desde o início de agosto de 2026, com um pico no dia 1 de setembro.
• X não confirmou novas violações de dados, mas abriu uma investigação interna sobre o ocorrido.
• As causas prováveis remontam a uma falha na API do Twitter de 2021-2022 e a um conjunto de dados de 201 milhões de registros divulgado no BreachForums em 2025.
• Uma botnet testou mais de 4,8 milhões de credenciais X, confirmando 18 contas comprometidas em uma janela de apenas 12 minutos.
• Paralelamente, uma campanha de phishing ativa desde julho de 2026 imita os avisos de acesso reais do X para roubar senhas.

Onda de e-mails de redefinição de senha indesejados atinge os utilizadores X desde agosto de 2026 {#Onda_de_emails_de_redefinicao_de_senha_indesejados_atinge_os_utilizadores_X_desde_agosto_de_2026}

Os e-mails em questão não são falsos ou forjados: eles realmente vêm dos sistemas oficiais do X, o que torna a situação ainda mais inquietante para quem os recebe sem os ter solicitado. O fenômeno lembra o que aconteceu com o Instagram no passado mês de janeiro, quando uma onda semelhante de redefinições não solicitadas coincidiu com a aparição online de um conjunto de dados relacionado a 17,5 milhões de contas, segundo relatado pela Forbes. Nesse caso, a Meta confirmou um bug que permitia a terceiros desencadear as redefinições, negando, no entanto, qualquer violação de seus sistemas internos.

X abre uma investigação, mas não confirma novas violações de dados {#X_abre_uma_investigacao_mao_nao_confirma_novas_violacoes_de_dados}

X não admitiu nem relatou qualquer nova violação, mas a empresa está ciente do problema e está monitorando ativamente. Mridul Singhai, engenheiro da equipe de Engenharia de Produto do X, pediu desculpas publicamente pelo inconveniente, explicando que, no momento, não há evidências de comprometimento dos sistemas da plataforma. Segundo Singhai, os atacantes parecem acreditar que, agora que X Money se tornou amplamente disponível, o controle de uma conta X vale mais, e isso os levaria a tentar o acesso não autorizado exatamente neste período.

As causas mais prováveis da atual onda não são um ataque recente, mas o ressurgimento de antigas exposições de dados que nunca foram totalmente resolvidas. Uma vulnerabilidade na API do Twitter permitiu, em janeiro de 2022, que um mal-intencionado associasse endereços de e-mail e números de telefone às contas dos usuários, gerando um conjunto de dados que abrangia mais de 200 milhões de usuários, hoje catalogado como uma entrada autônoma no Have I Been Pwned. O fundador do site, Troy Hunt, verificou que 98% dos endereços de e-mail contidos nesse conjunto de dados já haviam surgido em violações anteriores e desconectadas.

A situação se complicou em abril de 2025, quando um hacker com o pseudônimo ThinkingOne publicou no BreachForums um arquivo de 34 gigabytes contendo 201 milhões de registros de usuários X, incluindo nomes de usuário, endereços de e-mail, datas de criação da conta e número de seguidores, conforme relatado pela Fox News. Pesquisadores da SafetyDetectives verificaram uma amostra desse banco de dados comparando-a com perfis X ativos, confirmando que os endereços de e-mail correspondiam a contas reais. Não é a primeira vez que Twitter e X enfrentam episódios semelhantes: desde a venda de 33 milhões de credenciais em 2016 até uma série de incidentes documentados ao longo do tempo, incluindo um bug de 2023 que permitia assumir uma conta com um único clique.

Botnets e phishing: como as contas X são alvo
Nenhum dos dois conjuntos de dados precisa de um novo ataque cibernético para continuar causando danos: os endereços de e-mail em circulação alimentam, por si só, duas operações paralelas ainda em andamento. Pesquisadores da Breakglass Intelligence identificaram em abril de 2026 um painel de comando e controle desprotegido que estava realizando ataques de credential stuffing contra as contas X, testando 722.763 combinações de credenciais em uma única janela de observação de 12 minutos e confirmando 18 novas compromissos. Durante toda a sua atividade, a botnet passou a pente fino mais de 4,8 milhões de contas X, com a autenticação de dois fatores bloqueando 85,6% das tentativas.

A isso se junta, de forma totalmente independente, uma campanha de phishing em contas X ativa desde julho de 2026 que não necessita de nenhum conjunto de dados roubados para funcionar. Segundo o The Guardian, os golpistas enviam e-mails que replicam quase fielmente os verdadeiros avisos de "novo dispositivo" do X, com o mesmo logotipo, as mesmas cores, gramática correta, pedindo para clicar em um link para proteger a conta. O link leva a páginas falsas criadas para roubar a senha ou autorizar um aplicativo malicioso: um exemplo clássico de ataques de botnet a credenciais que não requerem, de forma alguma, uma violação real dos sistemas.

A interrupção do Proton complica a situação para alguns usuários

Alguns utilizadores do X relataram que não conseguem receber os e-mails relacionados com a sua conta através do Proton, o serviço de e-mail que muitos utilizam como endereço de recuperação. O Proton confirmou uma interrupção a partir de 1 de setembro de 2026, atribuindo-a a falhas de hardware remanescentes resultantes de um problema de sobrecarga ocorrido na semana anterior e a uma capacidade reduzida enquanto os técnicos ativam novas infraestruturas. Neste momento, não existe qualquer ligação confirmada entre os problemas do Proton e os incidentes nas contas do X: trata-se de dois casos distintos, mas quem utiliza o Proton como caixa de recuperação pode sofrer atrasos na receção de eventuais e-mails de redefinição.

O que podem fazer os utilizadores para proteger a conta {#O_que_podem_fazer_os_utilizadores_para_proteger_a_conta}

Quem recebe e-mails não solicitados deve, em primeiro lugar, verificar se realmente provêm de @X.com ou @e.X.com, uma vez que o X nunca pede a palavra-passe por e-mail. O X aconselha a passar da autenticação via SMS para uma aplicação de autenticação, usar uma palavra-passe única para a plataforma, verificar sessões ativas e aplicações ligadas, e ativar a função "proteger redefinição de palavra-passe" nas definições de segurança da conta, que requer uma verificação adicional do endereço de e-mail associado antes de enviar qualquer pedido de redefinição. Igualmente importante é não responder a quem se oferece espontaneamente para ajudar nestes casos: trata-se de fraudes conhecidas que exploram precisamente o medo gerado por episódios como este para roubar mais credenciais.

Um dado ajuda a enquadrar a real dimensão do risco: quando os investigadores desativaram o painel de controlo da botnet de abril, este confirmou 138 compromissos em 4,8 milhões de tentativas, uma fração mínima, mas que deve ser multiplicada pelos cerca de 26 mil milhões de tentativas de credential stuffing que, segundo as estimativas do setor, atingem todos os meses as páginas de login em todo o mundo.

FAQ {#FAQ}

Os e-mails de redefinição de palavra-passe não solicitados no X são sinal de uma nova violação de dados? {#Os_e-mails_de_redefinicao_de_palavra-passe_nao_sao_sinal_de_uma_nova_violacao_de_dados}

O X não confirmou nenhuma nova violação e ainda está a investigar. Os e-mails parecem estar ligados a antigas fugas de dados e a ataques em curso, não a uma violação recente dos sistemas.

O que devem fazer os utilizadores do X se receberem e-mails de redefinição de palavra-passe não solicitados? {#O_que_devem_fazer_os_utilizadores_do_X_se_receberem_emails_de_redefinicao_de_palavra-passe_nao_solicitados}

Os utilizadores devem ativar a autenticação de dois fatores, usar palavras-passe únicas, verificar as sessões ativas, habilitar a função "proteger redefinição de palavra-passe" e evitar clicar em links suspeitos.

Existe uma ligação entre os problemas do serviço de e-mail Proton e as dificuldades relacionadas com as contas do X? {#Existe_uma_ligacao_entre_os_problemas_do_servico_de_email_Proton_e_as_dificuldades_relacionadas_com_as_contas_do_X}

Nenhuma ligação direta foi confirmada entre a interrupção de hardware do Proton e os incidentes de segurança nas contas do X.

Quão eficaz é a autenticação de dois fatores contra esses ataques? {#Quao_eficaz_e_a_autenticacao_de_dois_fatores_contra_esses_ataques}

A autenticação de dois fatores bloqueou cerca de 85,6% das tentativas de credential stuffing realizadas pela botnet que visou as contas do X.

Conteúdo realizado com a assistência da inteligência artificial e com revisão editorial humana.