Între 1 și 2 octombrie 2026, după cum diferă relatările, contul oficial de X al Microsoft a fost preluat de persoane neautorizate și folosit pentru a promova o schemă cu o criptomonedă legată de Clippy, vechiul asistent din pachetul Office. Contul are peste 13 milioane de urmăritori. Atacatorii au schimbat imaginea de profil, au făcut contul să urmărească un cont care se dădea drept revenirea lui Clippy și au redistribuit mesajele acestuia, inclusiv unul care spunea că 500.000 de aprecieri ar fi suficiente ca să readucă mascota.
Ce este confirmat și ce nu
- Confirmat de Microsoft: accesul neautorizat, existența unor postări care nu au aparținut companiei, faptul că Microsoft nu susține și nu autorizează vreo criptomonedă sau vreun token și că, ulterior, contul a fost securizat, iar postările neautorizate au fost șterse.
- Raportat de SecurityWeek: postările au fost retrase după aproximativ 30 de minute. Alte publicații nu dau o durată clară.
- Raportat de Windows Latest: a existat și o a doua postare neautorizată, prezentată ca o scuză, care nici ea nu a venit de la Microsoft.
- Raportat de Yahoo Tech: contul care imita revenirea lui Clippy a fost ulterior suspendat de X.
- Neclar: ziua exactă. Publicațiile vorbesc fie de joi, 1 octombrie, fie de vineri, 2 octombrie.
- Nepublicat: cum s-a obținut accesul, cine sunt atacatorii și dacă cineva a pierdut bani cumpărând tokenul.
SecurityWeek enumeră patru metode posibile: schimbarea cartelei SIM, preluarea adresei de email asociate, un program rău-intenționat care fură cookie-uri de sesiune și unelte terțe de administrare a rețelelor sociale compromise. Sunt ipotezele publicației, nu constatări ale Microsoft. Le tratăm ca atare: nu știm care a fost metoda, și nu o presupunem.
De ce este relevant pentru o firmă mult mai mică
Pentru că ceea ce a eșuat aici nu este un lucru exotic. Un cont de brand este una dintre cele mai expuse identități ale unei organizații și, în același timp, una dintre cele mai puțin administrate. Nu aparține unui om. Este creat, de obicei, cu un email al cuiva, un număr de telefon al cuiva și o parolă pe care o știu mai multe persoane, apoi folosit zilnic de o echipă, de o agenție externă și, adesea, de două sau trei aplicații de programare a postărilor.
La o companie mare, o preluare de 30 de minute devine știre. La o firmă mică, o preluare similară are un efect mai direct: oricine vede un mesaj de pe contul oficial poate să-l creadă, pentru că vine de unde se așteaptă mesajele firmei.
Cele opt întrebări despre conturile tale de brand
- Câte conturi oficiale are organizația — rețele sociale, canale video, pagini de companie, conturi de magazine de aplicații — și cine le știe pe toate? Dacă lista nu există, ea este primul rezultat.
- Cine este proprietarul nominal al fiecăruia? O persoană, cu un înlocuitor numit.
- Ce adresă de email și ce număr de telefon sunt asociate pentru recuperare? Aparțin organizației sau unei persoane? Dacă persoana pleacă, ce se întâmplă? (Este aceeași problemă ca în articolul nostru despre accesul care rămâne după plecarea unui om.)
- Ce fel de autentificare în doi pași este activă — aplicație, cheie fizică sau SMS? SMS-ul poate fi ocolit printr-o preluare a cartelei SIM, una dintre ipotezele enumerate mai sus.
- Cine are acces în afara organizației: agenție, freelanceri, aplicații de programare a postărilor? Fiecare dintre ele este o cale de intrare separată.
- Credențialele se partajează între persoane sau fiecare are propriul acces cu rol limitat?
- Dacă mâine contul ar posta ceva fals, cine îl poate bloca și în cât timp? Ce contact aveți la platformă pentru urgențe?
- Aveți un mesaj de dezmințire pregătit, aprobat dinainte, și un loc, în afara contului compromis, de unde îl publicați?
Exercițiul: 30 de minute, cu un singur cont
Cu comunicare, securitate IT, juridic, agenția externă dacă există una și cineva din conducere. Alegeți contul cu cei mai mulți urmăritori și răspundeți în scris.
- Injectul 1 — un client vă scrie că pe contul vostru oficial apare o postare despre o criptomonedă. Cine verifică, în cât timp, și cine ia decizia că este o preluare, nu o greșeală a echipei?
- Injectul 2 — confirmați că nu ați postat voi. Ce faceți în primele zece minute: cine blochează accesul, cine contactează platforma și cu ce contact?
- Injectul 3 — contul este recuperat, dar nu știți cum a fost obținut accesul. Ce schimbați până aflați — parole, factori de recuperare, aplicații terțe, sesiuni active?
- Injectul 4 — ce publicați public, pe ce canal, cine aprobă mesajul și ce nu afirmați despre cauză înainte de a o ști?
Injectul 4 se pierde cel mai des în practică. O explicație a cauzei oferită prea devreme riscă să fie greșită și apoi retrasă. Microsoft a ales o formulare restrânsă: a confirmat accesul neautorizat, a spus ce nu susține și a anunțat că investighează, fără să speculeze despre metodă. Este un model de imitat.
Ce măsori
- Numărul de conturi oficiale cunoscute, față de numărul celor găsite efectiv printr-o căutare.
- Procentul de conturi cu proprietar nominal și înlocuitor.
- Procentul care folosesc aplicație sau cheie fizică pentru al doilea factor, nu SMS.
- Numărul de persoane și de aplicații terțe care au acces, comparat cu numărul celor care chiar au nevoie.
- Timpul necesar, în exercițiu, de la prima observare a unei postări false până la blocarea accesului.
- Existența unui mesaj de dezmințire aprobat dinainte și a unui al doilea canal de comunicare.
Nu știm încă ce a fost: metoda de acces nu a fost publicată. Indiferent de ea, rămâne o întrebare pentru orice organizație: contul de brand este o identitate publică pe care o ai, dar pe care puține o administrează ca pe un activ. Dacă singura persoană care știe cine are acces la cont este cea care l-a creat acum cinci ani, aceea este deja o problemă, indiferent ce s-a întâmplat la Microsoft.