Milijuni korisnika X-a (bivši Twitter) koji su učinili “sve ispravno” za sigurnost računa proveli su posljednja 24 sata zaključani, zaglavljeni u beskonačnim petljama dvofaktorske autentifikacije i dočekani zbunjujućom porukom:
“Morate ponovno upisati svoj YubiKey.”
Problem je izravno povezan s dugotrajnim nastojanjem Elona Muska da izbriše posljednje tragove twitter.com i potpuno prebaci prijave na x.com — prijelaz brenda i domene koji su kritičari već ocijenili kao jedan od najneurednijih rebrandinga u tehnološkoj industriji. [1]
Evo što se dogodilo, što je novo danas (13. studenog 2025.) i što možete učiniti ako je vaš X račun trenutno zarobljen u autentifikacijskom paklu.
Što se dogodilo: X-ova zamjena sigurnosnih ključeva pošla po zlu
Od 24. do 27. listopada, X je tiho upozorio korisnike da, ako koriste hardverski sigurnosni ključ (poput YubiKeya) ili passkey za dvofaktorsku autentifikaciju (2FA), moraju ga ponovno upisati za novu x.com domenu do 10. studenog 2025., ili riskiraju zaključavanje računa. [2]
X-ov sigurnosni tim tada je naglasio:
- Promjena “nije povezana ni s kakvim sigurnosnim incidentom,”
- Ona utječe samo na sigurnosne ključeve i passkeyeve,
- I bila je potrebna jer su ti ključevi kriptografski vezani za twitter.com, koji X želi ukinuti. [3]
Sigurnosni portali poput BleepingComputera i The Registera objasnili su da, kada twitter.com nestane, ključevi vezani za tu domenu jednostavno neće raditi — pa ih treba ponovno registrirati za x.com. [4]
To je bio plan.
Stvarnost je stigla ovaj tjedan.
12.–13. studenog: YubiKey greška i beskonačne petlje prijave
Počevši kasno 12. studenog (po američkom vremenu) i nastavljajući se u ranim satima 13. studenog 2025., korisnici X-a počeli su prijavljivati da se više ne mogu prijaviti putem weba ili mobitela:
- Nakon unosa lozinke, dobili su poruku da “moraju ponovno upisati [svoj] YubiKey” kako bi ga povezali s x.com. [5]
- Kada su pokušali slijediti upute, tijek se jednostavno… ponavljao u krug.
- Neki nikada nisu ni posjedovali YubiKey, ali su ipak bili prisiljeni na isti ekran “ponovno registriraj svoj YubiKey”. [6]
Android Central, Windows Central i TechCrunch svi su dokumentirali isti obrazac: globalni problem s prijavom za račune povezane sa sigurnosnim ključevima ili pristupnim ključevima, što je često rezultiralo slijepom ulicom pri provjeri ili potpunom zaključavanju čak i kada su korisnici ispravno slijedili upute. [7]
Sigurnosno orijentirani portal The Tech Buzz to je opisao izravno kao “migraciju sigurnosnog ključa” koja je pošla po zlu i pretvorila održavanje domene u “pakao autentifikacije” za korisnike najviše svjesne sigurnosti na platformi. [8]
Današnja nadopuna (13. studenog 2025.): Djelomičan oporavak, kaos i dalje traje
Nova izvješća i korisničke objave danas sugeriraju da se najgore od prekida smiruje — ali nisu se svi još vratili.
Redakcije: Problem potvrđen, X i dalje uglavnom šuti
- NewsBytes izvještava da se X “suočava s velikim problemom nakon obavezne promjene dvofaktorske autentifikacije”, ostavljajući korisnike “zarobljene u beskonačnim petljama ili potpuno zaključane”, te napominje da X nije javno komentirao ovaj kvar. [9]
- Storyboard18 također opisuje “neuspješno sigurnosno ažuriranje” koje je zaključalo korisnike ili ih zarobilo u petljama prijave — ponovno naglašavajući da X nije ponudio službeno objašnjenje dok Elon Musk nastavlja normalno objavljivati sa svog računa. [10]
- Tech Buzz je jutros ažurirao svoju priču kako bi odrazio nastavak neuspjeha autentifikacije i stalni izostanak službene izjave od strane X-a. [11]
TechCrunch napominje da X “nije odgovorio na zahtjev za komentarom,” iako je njihovo vlastito izvještavanje o prijavi detaljno opisalo beskonačne petlje i raširena zaključavanja nakon roka 10. studenog. [12]
Korisnička izvješća: povratak na staro u tijeku, ali nije univerzalan
Windows Centralov live blog, pozivajući se na interne izvore, izvijestio je 12. studenog da X-ovi inženjeri povlače nedavne promjene, a do sredine poslijepodneva autor se ponovno mogao prijaviti dok su izvješća o prekidu rada na DownDetectoru počela opadati. [13]Na Redditovim zajednicama r/Yubikey i r/Twitter korisnici opisuju: [14]
- Globalni problemi s X-ovim YubiKey/passkey postupkom prijave.
- Zbunjujuće poruke za “ponovno registrirajte svoj YubiKey” čak i za ljude koji su koristili samo passkeyeve ili aplikacije za autentifikaciju.
- Val komentara rano jutros poput “Vratio sam se” i “Popravljeno za oba moja računa” — uz druge koji kažu da su još uvijek zaključani.
Jedan široko podijeljen Reddit komentar spominje objavu verificiranog X inženjera koji navodi da bi “problem s prijavom sigurnosnim ključem trebao uskoro biti riješen”, ali je očito da se rješenje uvodi neujednačeno: neki računi ponovno rade, drugi su i dalje zaglavljeni u petlji. [15]
Zaključak za 13. studenog:
- Prekid se poboljšava, ali još uvijek nije potpuno riješen.
- Još uvijek nema detaljnog, javnog izvješća o uzroku od strane X-a.
Tko je pogođen — a tko nije?
Na temelju izvješća iz današnjeg praćenja i korisničkih objava: [16]
Najviše pogođeni:
- Računi koji su ikada postavili:
- hardverski sigurnosni ključ (YubiKey ili sličan), ili
- passkey (platformski autentifikator koristeći Face ID, Touch ID, Windows Hello itd.)
- Posebno korisnici čiji su ključevi izvorno registrirani dok se za prijavu još koristio twitter.com.
Uglavnom nepogođeni (zasad):
- Računi koji koriste aplikacije za autentifikaciju (TOTP aplikacije),
- Računi koji koriste SMS ili email kodove za 2FA,
- Računi bez 2FA (iako se to snažno ne preporučuje zbog sigurnosti).
Ironično, ljudi koji su uložili u najjaču zaštitu — hardverske tokene i pristupne ključeve — najviše su kažnjeni ovom neuspjelom migracijom. Nekoliko korisničkih izvještaja također sugerira da su neki korisnici bez ključeva zahvaćeni greškom zbog bugovitog procesa prijave koji nije ispravno prepoznao njihovu postavku. [17]
Zašto je prijava prestala raditi zbog prelaska s twitter.com na x.com
Da biste razumjeli prekid rada, morate razumjeti kako funkcioniraju sigurnosni ključevi i pristupni ključevi.
Za razliku od lozinki, WebAuthn/FIDO2 sigurnosni ključevi i pristupni ključevi su vezani za određenu domenu. Kada ste prvi put registrirali ključ za twitter.com, on se kriptografski zaključao na točno to porijeklo. [18]
Dakle, kada je X odlučio konačno ugasiti staru domenu i potpuno prebaciti prijave na x.com:
- Ključevi registrirani za twitter.com prestali su odgovarati novoj domeni.
- X je stoga zahtijevao od korisnika da ih odjave i ponovno prijave za x.com.
- Sam proces ponovne prijave čini se da je bio neispravan, što je uzrokovalo:
- Beskonačne petlje povratka na ekran “ponovno prijavite svoj YubiKey”,
- Upite za prijavu YubiKeyem na računima koji su koristili samo pristupne ključeve ili aplikacije,
- Korisnici nisu mogli doći do stranice s postavkama gdje se promjena mora izvršiti. [19]
X Safety je ranije uvjeravao korisnike da je ovo jednostavno održavanje i “nije povezano s bilo kakvom sigurnosnom prijetnjom,” ali provedba je očito podbacila u osnovnim očekivanjima pouzdanosti: sigurnosne migracije trebale bi ljude učiniti sigurnijima, a ne ih masovno odjavljivati. [20]
Je li ovo hakiranje ili curenje podataka?
Za sada nema dokaza da je ovaj incident hakiranje, curenje podataka ili vanjski kibernetički napad.
- X-ova vlastita pojašnjenja iz listopada opisala su resetiranje ključeva kao migraciju domene, a ne odgovor na incident. [21]
- Trenutna izvješća s NewsBytes, Storyboard18, TechBuzz, TechCrunch i drugih sve povezuju prekid rada s neuspjelom implementacijom planirane migracije sigurnosnog ključa, a ne s kompromitiranjem X-ovih sustava. [22]
Ipak, X još nije podijelio detaljno tehničko objašnjenje, pa vanjski promatrači još uvijek pokušavaju sastaviti uzrok na temelju ponašanja i procurjelih internih komentara.
Što učiniti ako ste zaključani iz svog X računa
Ako ste trenutno zaglavljeni u YubiKey/passkey petlji, evo praktičnih koraka temeljenih na X-ovim ranijim uputama i preporukama sigurnosnih stručnjaka. [23]
1. Pokušajte s uređaja na kojem ste već prijavljeni
Ako još uvijek imate aktivnu X sesiju na:
- Mobitelu,
- Tabletu, ili
- Drugom profilu preglednika,
koristite tu prijavljenu sesiju za:
- Idite na Postavke → Sigurnost i pristup računu → Sigurnost → Dvofaktorska autentifikacija.
- Privremeno onemogućite unos starog sigurnosnog ključa/passkeya koji se odnosi na twitter.com.
- Dodajte rezervnu 2FA metodu (aplikacija za autentifikaciju ili drugi hardverski ključ) ako je već nemate.
- Ponovno registrirajte svoj YubiKey/passkey za x.com tek kada problemi s migracijom budu jasno riješeni.
2. Provjerite druge 2FA opcije
Neki korisnici navode da još uvijek mogu pristupiti putem: [24]
- aplikacije za autentifikaciju koju su prethodno postavili,
- SMS ili email kodova,
- rezervnog hardverskog ključa.
Ako se možete autentificirati s jednom od tih opcija, odmah idite u postavke i provjerite:
- Koji sigurnosni ključevi su navedeni,
- Je li vaš ključ sada vezan za x.com,
- I imate li barem jednu funkcionalnu rezervnu metodu.
3. Koristite X-ov obrazac za oporavak računa
Ako nijedna metoda prijave ne radi i potpuno ste zaključani, vaš jedini službeni put je kontaktirati X podršku putem obrasca “ponovno pristupite svom računu”, na koji su, prema riječima više korisnika na Redditu, bili prisiljeni. [25]
Ovaj proces može biti spor i nema jamstva za uspjeh, ali to je jedini legitimni način oporavka koji X nudi ako 2FA ne radi.
4. Izbjegavajte potpuno isključivanje 2FA (ako je moguće)
X-ova vlastita upozorenja prije isteka roka govorila su da nakon 10. studenog možete: [26]
- Ponovno prijaviti svoj ključ ili passkey,
- Prebaciti se na drugu 2FA metodu, ili
- Potpuno isključiti 2FA (što oni sami “snažno ne preporučuju”).
Osim ako apsolutno ne morate odmah ponovno pristupiti i nemate drugih opcija, pokušajte ne isključivati trajno 2FA. Time izlažete svoj račun phishingu, ponovnoj upotrebi lozinki i SIM-swap napadima — upravo onim prijetnjama koje sigurnosni ključevi trebaju spriječiti.
Ako privremeno oslabite svoju sigurnost kako biste ponovno pristupili, planirajte:
- Odmah dodati aplikaciju za autentifikaciju ili rezervni ključ, i
- Ponovno omogućiti snažan 2FA čim X-ovi sustavi za prijavu budu stabilni.
5. Pazite na phishing e-mailove i lažnu “podršku”
Incidenti poput ovog su mamac za prevarante. Budite oprezni s:
- E-mailovima koji tvrde da su od “X Security” i traže da “popravite” svoj ključ,
- Direktnim porukama koje nude vraćanje vašeg računa uz naknadu,
- Linkovima koji izgledaju kao x.com, ali nisu (dodatni znakovi, čudni poddomeni itd.).
Ako ćete kliknuti na bilo što, upišite x.com sami u preglednik i navigirajte putem službenog sučelja umjesto da vjerujete linkovima u porukama.
Još jedan gaf u X-ovom dugom, kaotičnom rebrandiranju
Iz perspektive brendiranja, ovaj prekid je simbolično brutalan.
- Dizajnerska stranica Creative Bloq nedavno je Muskovo preimenovanje X nazvala “jednim od najneurednijih rebrandinga desetljeća”, ističući da ljudi i više od dvije godine kasnije i dalje instinktivno nazivaju platformu “X, ranije poznat kao Twitter”. [27]
- U tom je članku istaknuto da je jedan od posljednjih tehničkih ostataka Twittera — URL twitter.com — konačno povučen, a prijave se sada u potpunosti preusmjeravaju na x.com.
Sada je sam čin “pokapanja” twitter.com vratio stari brend u naslovnice, dok se korisnici žale da je “Twitter opet zabrljao” pokušavajući popraviti posljednje tragove… Twittera. [28]
Za kritičare, ovaj se incident uklapa u obrazac koji ističu otkako je Musk preuzeo platformu: agresivne, odozgo nametnute promjene koje se uvode velikom brzinom, s reduciranim inženjerskim timovima i naizgled ograničenim sigurnosnim mrežama. Brojni mediji danas izričito prikazuju prekid rada kao najnoviji u nizu operativnih posrtaja od preuzimanja vrijednog 44 milijarde dolara. [29]
Znači li to da su passkeyevi i sigurnosni ključevi loša ideja?
Kratki odgovor: ne — ali to je upozorenje kako ih implementirati.
Izvještaji BleepingComputera, The Vergea i The Registera svi naglašavaju da su hardverski ključevi i passkeyevi i dalje neki od najsigurnijih oblika autentifikacije dostupnih danas. Oni dramatično smanjuju rizik od phishinga jer će reagirati samo na točno onoj domeni na kojoj su registrirani. [30]
Ono što je ovdje pošlo po zlu nije bila temeljna tehnologija. Problem je bio:
- Loše provedeno planiranje migracije (forsiranje ponovne prijave uz strogi rok),
- Bugovit proces ponovne prijave bez pouzdane alternative,
- Slaba komunikacija tijekom prekida rada, zbog čega su korisnici morali javno rješavati sigurnosne probleme. [31]
Za druge platforme koje ovo promatraju, lekcija je jasna:
Ako planirate prebaciti milijune korisnika na novu domenu s hardverski vezanim vjerodajnicama, trebate nepogrješivo testiranje, postupan rollout i robusne putove oporavka.
FAQ: X sigurnosni ključ isključenje, 13. studenog 2025.
Što je uzrokovalo X-ov problem s prijavom?
Prisilna migracija sigurnosnih ključeva i pristupnih ključeva s domene twitter.com na x.com, u kombinaciji s neispravnim procesom ponovnog upisa koji je korisnike zarobio u YubiKey/passkey petljama i blokirao pristup postavkama računa. [32]
Tko je bio najviše pogođen?
Korisnici koji su postavili hardverske sigurnosne ključeve ili pristupne ključeve za 2FA, posebno oni čiji su ključevi izvorno registrirani dok su se prijave još koristile twitter.com. Mnogi od njih su privremeno ili još uvijek potpuno zaključani. [33]
Je li problem sada riješen (13. studenog 2025.)?
Izvještaji s Windows Central i Reddita pokazuju da mnogi korisnici ponovno mogu pristupiti nakon što je X očito povukao dio promjena, ali drugi su i dalje zaglavljeni, a X nije objavio detaljan javni izvještaj o incidentu. [34]
Je li X bio hakiran?
Nema javnih dokaza o hakiranju ili curenju podataka. X i neovisni sigurnosni izvori incident pripisuju neuspjeloj internoj migraciji sigurnosnih ključeva, a ne vanjskom napadu. [35]
Trebam li isključiti 2FA na svom X računu?
Samo kao krajnju mjeru. Isključivanje 2FA čini vaš račun puno ranjivijim. Ako morate oslabiti sigurnost da biste povratili pristup, dodajte aplikaciju za autentifikaciju ili rezervni ključ i ponovno uključite snažnu 2FA čim se X-ovi sustavi stabiliziraju. [36]
Od 13. studenog, kriza se polako smiruje, ali šteta za povjerenje korisnika — i za već kontroverzni X rebranding — može trajati puno dulje od samog prekida.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
