O Departamento de Justiça dos EUA colocou grupos de hackers em alerta após o ciberataque X

O procurador-geral Todd Blanche afirmou que o Departamento de Justiça está a processar os cibercriminosos que bombardearam os utilizadores do X com e-mails não solicitados de redefinição de palavra-passe esta semana.

A plataforma afirma que nenhuma conta foi comprometida porque o ataque foi interrompido a tempo.  

Ataque de redefinição de palavra-passe em X

A 2 de setembro de 2026, o Procurador-Geral Todd Blanche escreveu no X que “centenas de milhares de utilizadores do X” foram afetados por uma tentativa coordenada de sequestro de contas através do processo de recuperação de palavras-passe. Elogiou a empresa por ter interrompido o ataque a tempo e impedido que as contas dos utilizadores fossem comprometidas. 

Blanche acrescentou que os investigadores estão "a trabalhar em estreita colaboração com X para tracos criminosos" 

O ataque veio a público a 1 de setembro, quando os utilizadores começaram a relatar a receção de várias mensagens de redefinição de palavras-passe. Algumas caixas de entrada chegaram a receber cerca de dez e-mails num curto período por volta das 9h30 da manhã, hora do leste dos EUA. 

As mensagens pareciam realmente vir da empresa, uma vez que foram enviadas a partir do e-mail oficial (info@x.com) e continham o código de seis dígitos necessário para completar a reposição. Apesar disso, o engenheiro da X, Mridul Singhai, afirmou que a empresa não encontrou qualquer indício de violação de segurança. Pediu também desculpa pelo grande volume de e-mails. 

Singhai relacionou o ataque com o X Money, o produto de pagamentos de Elon Musk que foi divulgado ao público em julho, sugerindo que os atacantes "acreditam que, agora que o @XMoney está amplamente disponível, podem obter acesso não autorizado às contas".

X já foi pirateado antes? 

Os dados do X estão expostos há anos, após um incidentedent abril de 2025, no qual um autoproclamado entusiasta de dados, usando o pseudónimo "ThinkingOne", publicou um ficheiro de 34 GB com 201.186.753 registos do X, incluindo nomes, endereços de e-mail, nomes de utilizador e número de seguidores. 

A vulnerabilidade explorada pela ThinkingOne surgiu de um relatório de bug bounty de 2022 que permitia aos atacantes pesquisar utilizadores utilizando os seus endereços de e-mail ou números de telefone.

Devido a este historial, especula-se que os mais recentes atacantes do X tenham utilizado uma técnica chamada "dentstuffing", na qual as ferramentas automatizadas testam pares de nome de utilizador e palavra-passe roubados num sistema de login. 

O preenchimentodentstuffing) é responsável por 31% dos ataques às redes sociais, existindo em circulação mais de 24 mil milhões de pares de credenciais roubadas. Os investigadores que encontraram uma botnet focada em X observaram-na a testar 722.763dentnum período de 12 minutos.

As autoridades norte-americanas têm intensificado o combate ao cibercrime e aumentado o foco nos ataques de hackers. No final de agosto, o Departamento de Justiça e o FBI anunciaram a apreensão, autorizada judicialmente, de duas plataformas de hacking, a QScan e a QTRouter, que um grupo patrocinado pelo Estado chinês utilizou contra alvos como a NASA, a Reserva Federal e o Senado dos EUA. 

Dias depois, a 2 de setembro, as autoridades que trabalhavam com a CrowdStrike e a Shadowserver Foundation desmantelaram a Sality, uma botnet com sede na Rússia que terá infetado mais de 11 milhões de dispositivos ao longo de 23 anos de atividade.

Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.