Miljoonat X:n (entinen Twitter) käyttäjät, jotka tekivät “kaiken oikein” tiliturvallisuuden suhteen, ovat viettäneet viimeiset 24 tuntia uloskirjautuneina, jumissa loputtomissa kaksivaiheisen todennuksen silmukoissa ja kohdanneet hämmentävän viestin:
“Sinun täytyy rekisteröidä YubiKey uudelleen.”
Tämä häiriö liittyy suoraan Elon Muskin pitkäaikaiseen pyrkimykseen poistaa viimeisetkin twitter.com-jäljet ja siirtää kirjautumiset kokonaan x.com-osoitteeseen — brändi- ja verkkotunnussiirtoon, jonka kriitikot näkivät jo valmiiksi yhtenä teknologia-alan sekavimmista uudelleenbrändäyksistä. [1]
Tässä mitä tapahtui, mitä uutta on tänään (13. marraskuuta 2025), ja mitä voit tehdä, jos X-tilisi on tällä hetkellä jumissa todennushelvetissä.
Mitä tapahtui: X:n turva-avaimen vaihto menee pieleen
Lokakuun 24.–27. päivänä X varoitti hiljaisesti käyttäjiä, että jos he käyttivät laitteistopohjaista turva-avainta (kuten YubiKey) tai passkeytä kaksivaiheiseen todennukseen (2FA), heidän täytyi rekisteröidä se uudelleen uutta x.com-verkkotunnusta varten viimeistään 10. marraskuuta 2025, tai he riskeerasivat uloskirjautumisen. [2]
X:n Safety-tiimi korosti tuolloin, että:
- Muutos oli “ei liity mihinkään tietoturvavälikohtaukseen,”
- Se vaikutti vain turva-avaimiin ja passkeyhin,
- Ja se oli tarpeen, koska nämä avaimet ovat kryptografisesti sidottuja twitter.com-osoitteeseen, jonka X haluaa poistaa käytöstä. [3]
Tietoturvamedioiden, kuten BleepingComputerin ja The Registerin mukaan, kun twitter.com katoaa, siihen sidotut avaimet eivät yksinkertaisesti toimi — joten ne täytyy rekisteröidä uudelleen x.com-osoitteeseen. [4]
Tämä oli suunnitelma.
Todellisuus saapui tällä viikolla.
12.–13. marraskuuta: YubiKey-virhe ja loputtomat kirjautumissilmukat
Marraskuun 12. päivän myöhäisillasta (Yhdysvaltain aikaa) ja jatkuen varhaisaamuihin 13. marraskuuta 2025, X:n käyttäjät alkoivat raportoida, etteivät enää päässeet kirjautumaan sisään verkossa tai mobiilissa:
- Salasanan syöttämisen jälkeen heille kerrottiin, että heidän “täytyy rekisteröidä [heidän] YubiKey uudelleen” liittääkseen sen x.comiin. [5]
- Kun he yrittivät noudattaa ohjeita, prosessi vain… kiersi silmukkaa.
- Jotkut eivät olleet koskaan omistaneet YubiKeytä, mutta joutuivat silti saman “rekisteröi YubiKey uudelleen” -näytön eteen. [6]
Android Central, Windows Central ja TechCrunch dokumentoivat kaikki saman kaavan: globaali kirjautumisongelma tileille, jotka oli liitetty turva-avaimiin tai passkeyhin, mikä johti usein vahvistuksen umpikujaan tai täydelliseen uloslukitsemiseen, vaikka käyttäjät noudattivat ohjeita oikein. [7]
Tietoturvaan keskittynyt The Tech Buzz kuvaili asiaa suoraan “turva-avaimen siirron” epäonnistumiseksi, joka muutti domainin ylläpidon “autentikointipainajaiseksi” alustan tietoturvatietoisimmille käyttäjille. [8]
Tämän päivän päivitys (13. marraskuuta 2025): Osittainen palautuminen, jatkuva sekasorto
Uudet raportit ja käyttäjäviestit tänään viittaavat siihen, että pahin katkoksesta on helpottamassa — mutta kaikki eivät ole vielä päässeet takaisin sisään.
Uutishuoneet: Ongelma vahvistettu, X edelleen enimmäkseen hiljaa
- NewsBytes raportoi, että X:llä on “merkittävä ongelma pakollisen kaksivaiheisen tunnistautumisen muutoksen jälkeen”, mikä on jättänyt käyttäjät “loputtomiin silmukoihin tai täysin uloslukituiksi”, ja toteaa, että X ei ole kommentoinut julkisesti tätä häiriötä. [9]
- Storyboard18 kuvailee samoin “epäonnistunutta tietoturvapäivitystä”, joka lukitsi käyttäjiä ulos tai jumitti heidät kirjautumissilmukoihin — jälleen korostaen, että X ei ole antanut virallista selitystä, kun taas Elon Musk jatkaa normaalisti postaamista omalta tililtään. [10]
- Tech Buzz päivitti tänä aamuna juttunsa heijastamaan jatkuvia tunnistautumisongelmia ja X:n virallisen lausunnon puutetta. [11]
TechCrunch toteaa, että X “ei vastannut kommenttipyyntöön,” vaikka heidän omassa kirjautumiskattauksessaan kuvattiin loputtomia silmukoita ja laajamittaisia uloslukituksia marraskuun 10. päivän takarajan jälkeen. [12]
Käyttäjäraportit: palautus käynnissä, mutta ei kaikille
Windows Centralin liveblogi, joka siteerasi sisäisiä lähteitä, raportoi 12. marraskuuta, että X:n insinöörit olivat perumassa viimeaikaisia muutoksia, ja iltapäivään mennessä kirjoittaja pystyi kirjautumaan takaisin sisään samalla kun DownDetectorin häiriöilmoitukset alkoivat laskea. [13]Redditin r/Yubikey- ja r/Twitter-yhteisöissä käyttäjät kuvailevat: [14]
- Globaaleja ongelmia X:n YubiKey-/passkey-kirjautumisessa.
- Hämmentäviä kehotuksia “rekisteröi YubiKey uudelleen” jopa niille, jotka ovat käyttäneet vain passkeytä tai autentikaattorisovelluksia.
- Aalto kommentteja aikaisin tänään, kuten “Pääsin takaisin sisään” ja “Korjattu molemmissa tileissäni” — samalla kun toiset kertovat olevansa yhä ulkona.
Laajasti jaettu Reddit-kommentti viittaa vahvistetun X-insinöörin julkaisuun, jossa todetaan, että “turva-avaimen kirjautumisongelma pitäisi ratketa pian,” mutta korjaus selvästi etenee epätasaisesti: jotkut tilit toimivat taas, toiset ovat yhä jumissa. [15]
Yhteenveto 13. marraskuuta:
- Häiriö on helpottamassa, mutta ei täysin ohi.
- Yksityiskohtaista, julkista selvitystä X:ltä ei ole vieläkään.
Ketkä ovat vaikuttaneet — ja ketkä eivät?
Päivän uutisoinnin ja käyttäjäviestien perusteella: [16]
Eniten vaikuttaneet:
- Tilit, jotka ovat koskaan ottaneet käyttöön:
- Laitteistopohjaisen turva-avaimen (YubiKey tai vastaava), tai
- Passkeyn (alustan autentikaattori, kuten Face ID, Touch ID, Windows Hello, jne.)
- Erityisesti käyttäjät, joiden avaimet rekisteröitiin alun perin, kun palvelu käytti vielä twitter.com-osoitetta kirjautumiseen.
Pääosin vaikutuksettomat (toistaiseksi):
- Tilit, jotka käyttävät sovelluspohjaisia autentikaattoreita (TOTP-sovellukset),
- Tilit, jotka käyttävät SMS- tai sähköpostikoodeja 2FA:han,
- Tilit, joissa ei ole 2FA:ta (vaikka sitä ei suositella turvallisuussyistä).
Ironista kyllä, ne ihmiset, jotka ovat panostaneet vahvimpiin suojauksiin — laitetunnisteisiin ja pääavaimiin — ovat kärsineet eniten tästä epäonnistuneesta siirtymästä. Useat käyttäjäraportit viittaavat myös siihen, että jotkut ei-avaimen käyttäjät joutuivat virheen piiriin bugin vuoksi kirjautumisprosessissa, joka ei tunnistanut heidän asetuksiaan oikein. [17]
Miksi twitter.com → x.com -vaihto rikkoi kirjautumisen
Ymmärtääksesi katkoksen, sinun täytyy ymmärtää, miten turva-avaimet ja pääavaimet toimivat.
Toisin kuin salasanat, WebAuthn/FIDO2-turva-avaimet ja pääavaimet ovat sidottuja tiettyyn verkkotunnukseen. Kun rekisteröit avaimen ensimmäistä kertaa twitter.com-osoitteelle, se lukittautui kryptografisesti juuri siihen osoitteeseen. [18]
Joten kun X päätti lopulta poistaa vanhan verkkotunnuksen käytöstä ja siirtää kirjautumiset kokonaan osoitteeseen x.com:
- Osoitteelle twitter.com rekisteröidyt avaimet eivät enää vastanneet uutta verkkotunnusta.
- X vaati siksi käyttäjiä poistamaan ja rekisteröimään ne uudelleen x.com-osoitteelle.
- Uudelleenrekisteröintiprosessi itsessään näyttää olleen rikki, mikä aiheutti:
- Loputtomia silmukoita takaisin “rekisteröi YubiKey uudelleen” -näyttöön,
- Kirjautumiskehotuksia YubiKeylle tileillä, jotka käyttivät vain pääavaimia tai sovelluksia,
- Käyttäjät eivät päässeet asetussivulle, jossa muutos olisi pitänyt tehdä. [19]
X Safety vakuutti aiemmin käyttäjille, että kyseessä oli yksinkertainen ylläpito ja “ei liity mihinkään tietoturvaongelmaan,” mutta toteutus epäonnistui selvästi perusluotettavuuden osalta: tietoturvasiirtojen pitäisi tehdä ihmisistä turvallisempia, ei kirjata heitä ulos joukolla. [20]
Onko tämä hakkerointi vai tietomurto?
Tällä hetkellä ei ole mitään näyttöä, että tämä tapaus olisi hakkerointi, tietomurto tai ulkoinen kyberhyökkäys.
- X:n omat lokakuun selvennykset kuvasivat avaimen nollauksen verkkotunnuksen siirtona, ei tapahtumavastauksena. [21]
- Ajankohtaiset raportit NewsBytesilta, Storyboard18:lta, TechBuzzilta, TechCrunchilta ja muilta yhdistävät katkoksen epäonnistuneeseen suunnitellun turva-avaimen siirron toteutukseen, eivät X:n järjestelmien tietomurtoon. [22]
X ei kuitenkaan ole vielä jakanut yksityiskohtaista teknistä selitystä, joten ulkopuoliset tarkkailijat kokoavat yhä juurisyytä käyttäytymisen ja vuotaneiden sisäisten kommenttien perusteella.
Mitä tehdä, jos et pääse X-tilillesi
Jos olet tällä hetkellä jumissa YubiKey-/passkey-silmukassa, tässä käytännön ohjeita, jotka on poimittu X:n aiemmista ohjeista ja tietoturva-asiantuntijoiden suosituksista. [23]
1. Kokeile laitteella, jolla olet jo kirjautuneena sisään
Jos sinulla on yhä aktiivinen X-istunto:
- Puhelimella,
- Tabletilla tai
- Toisella selainprofiililla,
käytä tuota kirjautunutta istuntoa:
- Siirry kohtaan Asetukset → Tietoturva & tilin käyttö → Tietoturva → Kaksivaiheinen tunnistautuminen.
- Poista tilapäisesti käytöstä vanha turva-avain/passkey, joka viittaa osoitteeseen twitter.com.
- Lisää varmuuskopio 2FA-menetelmä (todennussovellus tai toinen laiteavain), jos sinulla ei vielä ole sellaista.
- Rekisteröi YubiKey/passkey uudelleen x.com-osoitteelle vasta, kun siirto-ongelmat on selvästi ratkaistu.
2. Tarkista muut 2FA-vaihtoehdot
Jotkut käyttäjät kertovat pääsevänsä yhä sisään seuraavilla tavoilla: [24]
- Aiemmin asennetulla todennussovelluksella,
- SMS- tai sähköpostikoodeilla,
- Vara-laiteavaimella.
Jos voit tunnistautua jollakin näistä, siirry suoraan asetuksiin ja tarkista:
- Mitkä turva-avaimet ovat listattuna,
- Onko avaimesi nyt sidottu x.com-osoitteeseen,
- Ja että sinulla on vähintään yksi toimiva varamenetelmä.
3. Käytä X:n tilin palautuslomaketta
Jos mikään kirjautumistapa ei toimi ja olet täysin lukittu ulos, ainoa virallinen reittisi on ottaa yhteyttä X:n tukeen sen “regain access to your account” -lomakkeen kautta, johon useat käyttäjät Redditissä kertovat turvautuneensa. [25]
Tämä prosessi voi olla hidas eikä menestystä voida taata, mutta se on ainoa laillinen palautusreitti, jonka X tarjoaa, jos 2FA ei toimi.
4. Vältä 2FA:n poistamista kokonaan käytöstä (jos vain mahdollista)
X:n omat varoitukset ennen määräaikaa sanoivat, että 10. marraskuuta jälkeen voit: [26]
- Rekisteröidä avaimen tai passkeyn uudelleen,
- Vaihda toiseen 2FA-menetelmään, tai
- Poista 2FA kokonaan käytöstä (mitä he itse “vahvasti eivät suosittele”).
Ellet ehdottomasti joudu pääsemään sisään heti eikä muita vaihtoehtoja ole, yritä olla poistamatta 2FA:ta pysyvästi käytöstä. Näin altistat tilisi tietojenkalastelulle, salasanan uudelleenkäytölle ja SIM-vaihtohuijauksille — juuri niille uhillet, joita turva-avaimet on tarkoitettu estämään.
Jos joudut väliaikaisesti heikentämään suojaustasi päästäksesi takaisin tilille, suunnittele:
- Lisää välittömästi autentikaattorisovellus tai varavavain, ja
- Ota vahva 2FA uudelleen käyttöön heti, kun X:n kirjautumisjärjestelmät ovat taas vakaat.
5. Varo tietojenkalasteluviestejä ja väärennettyä “tukea”
Tällaiset tapaukset houkuttelevat huijareita. Ole varuillasi:
- Sähköposteista, jotka väittävät olevansa “X Securityltä” ja pyytävät “korjaamaan” avaimesi,
- Yksityisviesteistä, joissa tarjotaan tilin palautusta maksua vastaan,
- Linkeistä, jotka näyttävät x.comilta mutta eivät ole (ylimääräisiä merkkejä, outoja aliverkkotunnuksia jne.).
Jos aiot klikata jotakin, kirjoita x.com itse selaimeen ja siirry virallisen käyttöliittymän kautta sen sijaan, että luottaisit viestien linkkeihin.
Viimeinen kompastus X:n pitkälle, sekavalle uudelleenbrändäykselle
Brändin näkökulmasta tämä katkos on symbolisesti brutaali.
- Design-sivusto Creative Bloq kutsui äskettäin Muskin X-uudistusta “yhdeksi vuosikymmenen sekavimmista brändimuutoksista” ja huomautti, että ihmiset viittaavat alustaan yhä vaistomaisesti nimellä “X, aiemmin tunnettu nimellä Twitter” yli kahden vuoden jälkeenkin. [27]
- Kyseinen artikkeli toi esiin, että yksi Twitterin viimeisistä teknisistä jäänteistä — twitter.com-URL — oli vihdoin poistumassa käytöstä, ja kirjautumiset ohjautuvat nyt kokonaan osoitteeseen x.com.
Nyt itse twitter.com-osoitteen hautaaminen on tuonut vanhan brändin takaisin otsikoihin, kun käyttäjät valittavat, että “Twitter mokasi taas” yrittäessään korjata viimeisiä… Twitterin jälkiä. [28]
Kriitikoiden mielestä tämä tapaus sopii kaavaan, jota he ovat korostaneet Muskin yritysoston jälkeen: aggressiivisia, ylhäältä johdettuja muutoksia otetaan käyttöön kovalla vauhdilla, supistetuilla insinööritiimeillä ja ilmeisen rajallisilla turvaverkoilla. Lukuisat mediat kuvaavat tämän päivän katkosta nimenomaan uusimpana toimintakatkoksena 44 miljardin dollarin yritysoston jälkeen. [29]
Tarkoittaako tämä, että passkeyt ja turva-avaimet ovat huono idea?
Lyhyt vastaus: ei — mutta tämä on varoitus siitä, miten ne otetaan käyttöön.
BleepingComputerin, The Vergen ja The Registerin raporteissa korostetaan, että laiteavaimet ja passkeyt ovat yhä turvallisimpia todennustapoja, joita on tänä päivänä saatavilla. Ne vähentävät merkittävästi tietojenkalastelun riskiä, koska ne toimivat vain täsmälleen sillä verkkotunnuksella, johon ne on rekisteröity. [30]
Tässä tapauksessa ongelma ei ollut taustalla oleva teknologia. Ongelma oli:
- Huonosti hoidettu migraatioprosessi (uudelleenrekisteröinti pakotettiin tiukalla aikarajalla),
- Buginen uudelleenrekisteröintiprosessi, josta puuttui luotettava varajärjestelmä,
- Heikko viestintä katkoksen aikana, jolloin käyttäjät joutuivat selvittämään tietoturvaongelmia julkisesti. [31]
Muille alustoille, jotka seuraavat tätä tilannetta, opetus on selvä:
Jos aiot siirtää miljoonia käyttäjiä uudelle verkkotunnukselle laitesidonnaisilla tunnisteilla, tarvitset luotettavan testauksen, asteittaisen käyttöönoton ja vahvat palautumispolut.
UKK: X:n turva-avainten katkos, 13. marraskuuta 2025
Mikä aiheutti X:n kirjautumiskatkoksen?
Pakotettu turva-avainten ja passkey-avainparien siirto twitter.com-verkkotunnuksesta x.com-verkkotunnukseen yhdistettynä rikkinäiseen uudelleenrekisteröintiprosessiin, joka jumitti käyttäjät YubiKey-/passkey-silmukoihin ja esti pääsyn tiliasetuksiin. [32]
Ketkä kärsivät eniten?
Käyttäjät, jotka olivat ottaneet käyttöön laitteistopohjaiset turva-avaimet tai passkeyt 2FA:lle, erityisesti ne, joiden avaimet oli alun perin rekisteröity, kun kirjautumiset vielä käyttivät twitter.com-osoitetta. Monet heistä olivat tilapäisesti tai ovat yhä täysin lukittuna ulos. [33]
Onko ongelma nyt (13. marraskuuta 2025) korjattu?
Windows Centralin ja Redditin raporttien mukaan monet käyttäjät voivat taas kirjautua sisään X:n ilmeisesti peruttua osan muutoksista, mutta osa on yhä jumissa, eikä X ole julkaissut yksityiskohtaista julkista selvitystä. [34]
Hakeroitiinko X?
Ei ole julkista näyttöä hakkeroinnista tai tietomurrosta. X ja riippumattomat tietoturvaraportit pitävät tapausta epäonnistuneena sisäisenä turva-avainten siirtona, eivät ulkoisena hyökkäyksenä. [35]
Pitäisikö minun poistaa 2FA käytöstä X-tililtäni?
Vain viimeisenä keinona. 2FA:n poistaminen tekee tilistäsi paljon helpommin murrettavan. Jos joudut heikentämään suojausta päästäksesi takaisin tilillesi, lisää autentikaattorisovellus tai varmuusavain ja ota vahva 2FA uudelleen käyttöön heti, kun X:n järjestelmät vakautuvat. [36]
13. marraskuuta tilanne on hitaasti purkautumassa, mutta vahinko käyttäjien luottamukselle — ja jo valmiiksi kiistanalaiselle X-brändäykselle — saattaa kestää paljon pidempään kuin itse katkos.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
