Több millió X (korábban Twitter) felhasználó, akik „mindent helyesen” tettek a fiókbiztonság érdekében, az elmúlt 24 órát kizárva töltötték, végtelen kétlépcsős hitelesítési hurkokba ragadva, és egy zavaros üzenettel szembesültek:
„Újra kell regisztrálnia a YubiKey-jét.”
A hiba közvetlenül Elon Musk régóta tartó törekvéséhez köthető, hogy eltüntesse a twitter.com utolsó nyomait, és a bejelentkezéseket teljesen áthelyezze a x.com oldalra — egy márka- és domainváltás, amelyet a kritikusok már most a technológiai ipar egyik legkaotikusabb rebrandingjének tartanak. [1]
Íme, mi történt, mi az újdonság ma (2025. november 13.), és mit tehetsz, ha X-fiókod jelenleg hitelesítési pokolban rekedt.
Mi történt: X biztonsági kulcsváltása félresikerült
Október 24–27. között az X csendben figyelmeztette a felhasználókat, hogy ha hardveres biztonsági kulcsot (például YubiKey-t) vagy passkey-t használnak kétlépcsős hitelesítéshez (2FA), akkor újra kellett regisztrálniuk azt az új x.com domainhez 2025. november 10-ig, különben kizárhatják őket. [2]
Az X biztonsági csapata akkor hangsúlyozta, hogy:
- A változás „nem kapcsolódik semmilyen biztonsági incidenshez”
- Ez csak a biztonsági kulcsokat és passkey-ket érintette,
- És azért volt szükség rá, mert ezek a kulcsok kriptográfiailag a twitter.com-hoz kötődnek, amelyet az X meg akar szüntetni. [3]
Biztonsági portálok, mint a BleepingComputer és a The Register elmagyarázták, hogy ha a twitter.com megszűnik, az ahhoz kötött kulcsok egyszerűen nem fognak működni — ezért kell őket újraregisztrálni a x.com-hoz. [4]
Ez volt a terv.
A valóság ezen a héten érkezett meg.
November 12–13: YubiKey hiba és végtelen bejelentkezési hurkok
November 12-én késő este (USA idő szerint), és átnyúlva 2025. november 13 kora óráiba, az X felhasználók jelenteni kezdték, hogy már nem tudnak bejelentkezni weben vagy mobilon:
- Jelszavuk megadása után azt az üzenetet kapták, hogy „újra kell regisztrálniuk [a] YubiKey-jüket”, hogy azt az x.com-hoz társítsák. [5]
- Amikor megpróbálták követni az utasításokat, a folyamat egyszerűen… végtelenítve ismétlődött.
- Volt, aki soha nem is rendelkezett YubiKey-jel, mégis ugyanarra a „regisztráld újra a YubiKey-ed” képernyőre kényszerült. [6]
Az Android Central, a Windows Central és a TechCrunch mind ugyanazt a mintát dokumentálták: egy globális bejelentkezési problémát azoknál a fiókoknál, amelyek biztonsági kulcshoz vagy passkey-hez voltak kötve, gyakran ellenőrzési zsákutcához vagy teljes kizáráshoz vezetve, még akkor is, ha a felhasználók helyesen követték az utasításokat. [7]
A biztonságra fókuszáló The Tech Buzz nyíltan úgy írta le, mint egy „félresikerült biztonsági kulcs migrációt”, amely a domain karbantartást „hitelesítési pokollá” változtatta a platform legbiztonságtudatosabb felhasználói számára. [8]
Mai frissítés (2025. november 13.): Részleges helyreállás, maradék káosz
Az új jelentések és felhasználói posztok ma arra utalnak, hogy a leállás legsúlyosabb része enyhül — de még nem mindenki tudott visszalépni.
Hírszobák: A problémát megerősítették, az X továbbra is nagyrészt hallgat
- A NewsBytes arról számol be, hogy az X „komoly problémával néz szembe egy kötelező kétfaktoros hitelesítési változtatás után”, a felhasználók „végtelen hurkokba kerülnek vagy teljesen kizáródnak”, és megjegyzi, hogy az X nyilvánosan nem kommentálta a hibát. [9]
- A Storyboard18 szintén „elrontott biztonsági frissítésként” írja le az esetet, amely kizárta a felhasználókat vagy bejelentkezési hurkokba zárta őket — ismét hangsúlyozva, hogy az X nem adott hivatalos magyarázatot, miközben Elon Musk továbbra is normálisan posztol saját fiókjából. [10]
- A Tech Buzz ma reggel frissítette cikkét, hogy tükrözze a folytatódó hitelesítési hibákat és az X hivatalos nyilatkozatának továbbra is fennálló hiányát. [11]
A TechCrunch megjegyzi, hogy az X „nem válaszolt a megkeresésre”, miközben saját bejelentkezési tudósításuk végtelen hurkokat és széles körű kizárásokat részletezett a november 10-i határidő után. [12]
Felhasználói jelentések: visszaállítás folyamatban, de nem mindenkinél
A Windows Central élő blogja, belső forrásokra hivatkozva, november 12-én arról számolt be, hogy az X mérnökei visszavonják a közelmúltbeli változtatásokat, és a délután közepére a szerző már újra be tudott jelentkezni, miközben a DownDetectoren az üzemzavar-jelentések csökkenni kezdtek. [13]
A Reddit r/Yubikey és r/Twitter közösségeiben a felhasználók a következőket írják le: [14]
- Globális problémák az X YubiKey/passkey bejelentkezési folyamatával.
- Zavaró felszólítások a „YubiKey újraregisztrálására” még azok számára is, akik csak passkey-t vagy hitelesítő alkalmazást használtak.
- Ma kora reggel egy hullámnyi hozzászólás, például: „Visszajutottam” és „Mindkét fiókomnál megjavult” — miközben mások azt írják, hogy még mindig ki vannak zárva.
Egy széles körben megosztott Reddit-hozzászólás egy hitelesített X mérnök bejegyzésére hivatkozik, amely szerint a „biztonsági kulcs bejelentkezési probléma hamarosan megoldódik”, de a javítás egyértelműen egyenetlenül terjed: néhány fiók már működik, mások még mindig a hurokban ragadtak. [15]
A lényeg november 13-ra:
- Az üzemzavar javul, de még nincs teljesen vége.
- Még mindig nincs részletes, nyilvános utólagos elemzés az X-től.
Kiket érint — és kiket nem?
A mai beszámolók és felhasználói bejegyzések alapján: [16]
Leginkább érintettek:
- Azok a fiókok, amelyek valaha is beállítottak:
- Egy hardveres biztonsági kulcsot (YubiKey vagy hasonló), vagy
- Egy passkey-t (platform hitelesítő, pl. Face ID, Touch ID, Windows Hello stb.)
- Különösen azok a felhasználók, akiknek a kulcsait még akkor regisztrálták, amikor a szolgáltatás a twitter.com-ot használta bejelentkezéshez.
Többnyire nem érintettek (eddig):
- Azok a fiókok, amelyek alkalmazásalapú hitelesítőt (TOTP appokat) használnak,
- Azok a fiókok, amelyek SMS- vagy e-mail kódokat használnak 2FA-hoz,
- Azok a fiókok, amelyeknél nincs 2FA (bár ezt biztonsági okokból erősen ellenjavallott).
Ironikus módon azok az emberek, akik a legerősebb védelembe fektettek — hardverkulcsokba és passkey-ekbe — szenvedték el a legtöbb hátrányt ennél az elrontott átállásnál. Több felhasználói jelentés szerint néhány nem-kulcsos felhasználó is beleesett a hibába egy hibás bejelentkezési folyamat miatt, amely nem ismerte fel helyesen a beállításukat. [17]
Miért törte meg a bejelentkezést a twitter.com → x.com váltás
A leállás megértéséhez tudni kell, hogyan működnek a biztonsági kulcsok és a passkey-ek.
A jelszavakkal ellentétben a WebAuthn/FIDO2 biztonsági kulcsok és a passkey-ek egy adott domainhez kötöttek. Amikor először regisztráltál egy kulcsot a twitter.com-hoz, az kriptográfiailag ehhez a pontos eredethez zárta magát. [18]
Tehát amikor az X végül úgy döntött, hogy megszünteti a régi domaint, és a bejelentkezéseket teljesen áthelyezi a x.com-ra:
- A twitter.com-hoz regisztrált kulcsok nem egyeztek többé az új domainnel.
- Az X ezért megkövetelte a felhasználóktól, hogy töröljék a regisztrációt, majd regisztrálják újra őket a x.com-hoz.
- Maga az újraregisztrációs folyamat is hibásnak tűnt, ami a következőket okozta:
- Végtelen körök vissza a „regisztráld újra a YubiKey-ed” képernyőre,
- Bejelentkezési felszólítás YubiKey-re olyan fiókoknál, amelyek csak passkey-t vagy alkalmazást használtak,
- A felhasználók nem tudták elérni a beállítások oldalt, ahol a változtatást el kellene végezni. [19]
Az X Safety korábban megnyugtatta a felhasználókat, hogy ez egyszerű karbantartás, és „nem kapcsolódik semmilyen biztonsági problémához”, de a kivitelezés egyértelműen nem felelt meg az alapvető megbízhatósági elvárásoknak: a biztonsági migrációknak az embereket kellene biztonságosabbá tenniük, nem pedig tömegesen kijelentkeztetni őket. [20]
Ez hack vagy adatvédelmi incidens?
Eddig nincs bizonyíték arra, hogy ez az eset hack, adatvédelmi incidens vagy külső kibertámadás lenne.
- Az X saját októberi magyarázatai a kulcsok visszaállítását domain migrációnak nevezték, nem incidenskezelésnek. [21]
- A jelenlegi beszámolók a NewsBytes, a Storyboard18, a TechBuzz, a TechCrunch és más források részéről mind a leállást egy tervezett biztonsági kulcs migráció sikertelen végrehajtásához kötik, nem pedig az X rendszereinek feltöréséhez. [22]
Ugyanakkor az X még nem osztott meg részletes technikai magyarázatot, így a külső megfigyelők továbbra is a viselkedésből és kiszivárgott belső megjegyzésekből próbálják összerakni a kiváltó okot.
Mit tegyél, ha kizártad magad az X fiókodból
Ha jelenleg a YubiKey/passkey hurokban ragadtál, itt vannak a gyakorlati lépések, amelyeket az X korábbi útmutatásaiból és biztonsági szakértők ajánlásaiból gyűjtöttünk össze. [23]
1. Próbáld meg arról az eszközről, ahol már be vagy jelentkezve
Ha még mindig van aktív X munkameneted:
- Egy telefonon,
- Egy táblagépen, vagy
- Egy másik böngészőprofilban,
használd ezt a bejelentkezett munkamenetet az alábbiakhoz:
- Lépj a Beállítások → Biztonság és fiókhozzáférés → Biztonság → Kétlépcsős azonosítás menüpontra.
- Ideiglenesen tiltsd le a régi biztonsági kulcs/passkey bejegyzést, amely a twitter.com-ra hivatkozik.
- Adj hozzá egy tartalék 2FA módszert (hitelesítő alkalmazás vagy másik hardverkulcs), ha még nincs ilyen.
- Csak akkor regisztráld újra a YubiKey/passkey-t x.com-hoz, ha a migrációs problémák egyértelműen megoldódtak.
2. Ellenőrizd a többi 2FA lehetőséget
Néhány felhasználó arról számolt be, hogy még be tud lépni a következőkön keresztül: [24]
- Egy hitelesítő alkalmazás, amit korábban beállítottak,
- SMS vagy e-mail kódok,
- Egy tartalék hardverkulcs.
Ha ezek közül valamelyikkel be tudsz jelentkezni, menj egyenesen a beállításokhoz, és ellenőrizd:
- Mely biztonsági kulcsok vannak felsorolva,
- Hogy a kulcsod most már x.com-hoz van-e kötve,
- És hogy van-e legalább egy működő tartalék módszered.
Most maga a twitter.com eltemetése hozta vissza a régi márkát a hírekbe, mivel a felhasználók panaszkodnak, hogy „a Twitter megint elrontott valamit”, miközben próbálják kijavítani a Twitter utolsó nyomait. [26]
A kritikusok szerint ez az eset illeszkedik abba a mintába, amelyre Musk felvásárlása óta rámutatnak: agresszív, felülről lefelé irányuló változtatások gyors bevezetése, lecsökkentett mérnöki csapatokkal és látszólag korlátozott biztonsági hálóval. Számos médium ma kifejezetten úgy tálalja a leállást, mint az üzemeltetési baklövések legújabb példáját a 44 milliárd dolláros felvásárlás óta. [27]
Ez azt jelenti, hogy a passkulcsok és a biztonsági kulcsok rossz ötletnek számítanak?
Rövid válasz: nem — de figyelmeztetés arra, hogyan vezeted be őket.
A BleepingComputer, a The Verge és a The Register beszámolói mind hangsúlyozzák, hogy a hardveres kulcsok és a passkulcsok ma is a legbiztonságosabb hitelesítési formák közé tartoznak. Jelentősen csökkentik az adathalászat kockázatát, mivel csak azon a pontos domainen válaszolnak, amelyre regisztrálták őket. [28]
Ami itt elromlott, az nem az alapul szolgáló technológia volt. Hanem:
- Gyengén kezelt migrációs tervezés (újraregisztráció kikényszerítése szoros határidővel),
- Egy hibás újraregisztrációs folyamat megbízható alternatíva nélkül,
- Gyenge kommunikáció a leállás alatt, így a felhasználók nyilvánosan próbálták megfejteni a biztonsági hibákat. [29]
Azoknak a platformoknak, amelyek figyelik ezt a helyzetet, a tanulság egyértelmű:
Ha több millió felhasználót akarsz új domainre költöztetni hardverhez kötött hitelesítő adatokkal, kibiztosított tesztelésre, fokozatos bevezetésre és robusztus visszaállítási lehetőségekre van szükséged.
GYIK: X biztonsági kulcs leállás, 2025. november 13.
Mi váltotta ki az X bejelentkezési leállását?
A biztonsági kulcsok és passkulcsok kényszerű migrációja a twitter.com doménről a x.com doménre, amit egy hibás újraregisztrációs folyamat kísért, amely a felhasználókat YubiKey/passkey hurkokba zárta, és blokkolta a hozzáférést a fiókbeállításokhoz. [30]
Kiket érintett leginkább?
Azokat a felhasználókat, akik hardveres biztonsági kulcsokat vagy passkulcsokat állítottak be 2FA-hoz, különösen azokat, akiknek a kulcsait eredetileg akkor regisztrálták, amikor a bejelentkezés még a twitter.com-ot használta. Sokan közülük ideiglenesen vagy még mindig teljesen ki vannak zárva. [31]
Mostanra (2025. november 13.) megoldódott a probléma?
A Windows Central és a Reddit beszámolói szerint sok felhasználó ismét be tud jelentkezni, miután az X láthatóan visszavonta a változtatások egy részét, de mások továbbra is elakadtak, és az X nem adott ki részletes nyilvános elemzést. [32]
Feltörték az X-et?
Nincs nyilvános bizonyíték hackelésre vagy adatlopásra. Az X és független biztonsági jelentések az esetet egy elrontott belső biztonsági kulcs migrációnak tulajdonítják, nem külső támadásnak. [33]
Kapcsoljam ki a 2FA-t az X fiókomban?
Csak végső esetben. A 2FA kikapcsolása sokkal könnyebbé teszi a fiók feltörését. Ha a hozzáférés visszaszerzéséhez gyengítened kell a biztonságot, adj hozzá hitelesítő alkalmazást vagy tartalékkulcsot, és kapcsold vissza az erős 2FA-t, amint az X rendszerei stabilizálódnak. [34]
November 13-án a válság lassan enyhül, de a felhasználói bizalom — és az amúgy is vitatott X márkaváltás — kárát valószínűleg sokkal tovább érezni fogjuk, mint magát a leállást.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.creativebloq.com, 26. www.creativebloq.com, 27. www.techbuzz.ai, 28. www.bleepingcomputer.com, 29. www.techbuzz.ai, 30. www.newsbytesapp.com, 31. www.techbuzz.ai, 32. www.windowscentral.com, 33. www.theregister.com, 34. www.bleepingcomputer.com
