Милиони потребители на X (бивш Twitter), които са направили „всичко правилно“ за сигурността на акаунта си, прекараха последните 24 часа заключени, заседнали в безкрайни цикли на двуфакторна автентикация и посрещнати от объркващо съобщение:
„Трябва да регистрирате отново своя YubiKey.“
Проблемът е пряко свързан с дългогодишните усилия на Илон Мъск да изтрие последните следи от twitter.com и да премести изцяло влизанията към x.com — преход на марка и домейн, който критиците вече определиха като един от най-хаотичните ребрандинги в технологиите. [1]
Ето какво се случи, какво е новото днес (13 ноември 2025 г.) и какво можете да направите, ако акаунтът ви в X в момента е блокиран в автентикационен ад.
Какво се случи: Превключването на X към нов ключ за сигурност се обърка
В периода 24–27 октомври X тихомълком предупреди потребителите, че ако използват хардуерен ключ за сигурност (като YubiKey) или passkey за двуфакторна автентикация (2FA), те трябваше да го регистрират отново за новия домейн x.com до 10 ноември 2025 г., или рискуват да бъдат заключени. [2]
Екипът по безопасност на X тогава подчерта:
- Промяната беше „не свързана с инцидент по сигурността,“
- Тя засягаше само ключове за сигурност и passkeys,
- И беше необходима, защото тези ключове са криптографски обвързани с twitter.com, който X иска да премахне. [3]
Издания за сигурност като BleepingComputer и The Register обясниха, че след като twitter.com изчезне, ключовете, обвързани с този домейн, просто няма да работят — затова трябва да бъдат регистрирани отново към x.com. [4]
Това беше планът.
Реалността настъпи тази седмица.
12–13 ноември: Грешка с YubiKey и безкрайни цикли при влизане
От късно на 12 ноември (американско време) и през ранните часове на 13 ноември 2025 г., потребителите на X започнаха да съобщават, че вече не могат да влязат в уеб или мобилното приложение:
- След въвеждане на паролата си, им беше казано, че „трябва да регистрират отново [своя] YubiKey“, за да го асоциират с x.com. [5] Когато се опитаха да следват инструкциите, процесът просто… се въртеше в кръг.Някои никога не са притежавали YubiKey, но въпреки това бяха принудени да преминат през същия екран „пререгистрирайте своя YubiKey“. Reddit+1Android Central, Windows Central и TechCrunch документираха същия модел: глобален проблем с влизането за акаунти, свързани със защитени ключове или passkeys, което често водеше до задънена улица при проверката или пълно заключване, дори когато потребителите следваха инструкциите правилно. Android Central+2Windows Central+2Медията с фокус върху сигурността The Tech Buzz го описа директно като „неуспешна миграция на защитени ключове“, която превърна рутинната поддръжка на домейна в „ад на удостоверяването“ за най-съзнателните по отношение на сигурността потребители на платформата. The Tech BuzzДнешна актуализация (13 ноември 2025): Частично възстановяване, продължаващ хаосНовите репортажи и публикации на потребители днес предполагат, че най-лошото от прекъсването отшумява — но не всички са се върнали обратно.Новинарски редакции: Проблемът е потвърден, X все още предимно мълчиNewsBytes съобщава, че X „се сблъсква с голям проблем след задължителна промяна в двуфакторната автентикация“, оставяйки потребителите „хванати в безкрайни цикли или напълно заключени“, и отбелязва, че X не е направил публичен коментар относно проблема. NewsBytesStoryboard18 също описва „провален ъпдейт на сигурността“, който заключи потребители или ги вкара в цикли при влизане — отново подчертавайки, че X не е дал официално обяснение, докато Илон Мъск продължава да публикува нормално от собствения си акаунт. Storyboard18Tech Buzz актуализира историята си тази сутрин, за да отрази продължаващите неуспехи при удостоверяване и липсата на официално изявление от X. The Tech BuzzTechCrunch отбелязва, че X „не е отговорил на искане за коментар“, дори когато собственото им отразяване на проблема с влизането описва безкрайни цикли и масови заключвания след крайния срок на 10 ноември. TechCrunchПотребителски доклади: връщане назад е в ход, но не е универсално
Live блогът на Windows Central, позовавайки се на вътрешни източници, съобщи на 12 ноември, че инженерите на X връщат последните промени, и до средата на следобеда авторът е успял да влезе отново, докато докладите за прекъсвания в DownDetector започват да намаляват. [6]
В Reddit общностите r/Yubikey и r/Twitter потребители описват: [7]
- Глобални проблеми с YubiKey/passkey логин потока на X.
- Объркващи съобщения за „повторно регистриране на вашия YubiKey“ дори за хора, които са използвали само passkeys или приложения за удостоверяване.
- Вълна от коментари рано днес като „Влязох отново“ и „Оправено и за двата ми акаунта“ — заедно с други, които казват, че все още са заключени.
Широко споделен коментар в Reddit препраща към публикация от потвърден инженер на X, в която се казва, че „проблемът с влизането със защитен ключ скоро ще бъде решен“, но поправката очевидно се разпространява неравномерно: някои акаунти работят отново, други все още са в цикъла. [8]
Изводът за 13 ноември:
- прекъсването се подобрява, но все още не е напълно отстранено.
- Все още няма подробен, публичен анализ на проблема от X.
Кой е засегнат — и кой не е?
Въз основа на доклади от днешното отразяване и потребителски публикации: [9]
Най-засегнати:
- Акаунти, които някога са настроили:
- хардуерен защитен ключ (YubiKey или подобен), или
- passkey (платформен удостоверител с Face ID, Touch ID, Windows Hello и др.)
- Особено потребители, чиито ключове първоначално са били регистрирани, когато услугата все още е използвала twitter.com за вход.
Почти незасегнати (засега):
- Акаунти, използващи приложения за удостоверяване (TOTP приложения),
- Акаунти, използващи SMS или имейл кодове за 2FA,
- Акаунти без 2FA (макар че това силно не се препоръчва за сигурността).
Иронично е, че хората, които са инвестирали в най-силните защити — хардуерни токени и passkeys — бяха най-силно наказани от тази провалена миграция. Няколко потребителски доклада също предполагат, че някои потребители без ключове са били засегнати от грешен login flow, който не е разпознал правилно тяхната настройка. [10]
Защо смяната от twitter.com → x.com счупи влизането
За да разберете прекъсването, трябва да разберете как работят security keys и passkeys.
За разлика от паролите, WebAuthn/FIDO2 security keys и passkeys са свързани с конкретен домейн. Когато за първи път сте регистрирали ключ за twitter.com, той се е заключил криптографски към този точен произход. [11]
Така че, когато X реши окончателно да премахне стария домейн и да премести влизанията изцяло към x.com:
- Ключовете, регистрирани за twitter.com, спряха да съвпадат с новия домейн.
- Затова X изискваше от потребителите да деактивират и регистрират наново ключовете си за x.com.
- Самият процес на повторна регистрация изглежда беше счупен, което доведе до:
- Безкрайни цикли обратно към екрана “регистрирайте отново вашия YubiKey”,
- Поява на login prompts за YubiKey при акаунти, които са използвали само passkeys или приложения,
- Потребители, които не могат да достигнат страницата с настройки, където трябва да се направи промяната. [12]
X Safety по-рано увери потребителите, че това е проста поддръжка и “не е свързано с какъвто и да е проблем със сигурността,” но изпълнението очевидно не отговаря на основните очаквания за надеждност: миграциите за сигурност трябва да правят хората по-сигурни, а не да ги изключват масово. [13]
Това хак или пробив на данни ли е?
Няма доказателства до момента, че този инцидент е хак, пробив или външна кибератака.
- Октомврийските разяснения на X определиха нулирането на ключовете като миграция на домейн, а не като реакция на инцидент. [14]
- Текущите репортажи от NewsBytes, Storyboard18, TechBuzz, TechCrunch и други свързват прекъсването с неуспешно внедряване на планираната миграция на ключ за сигурност, а не с компрометиране на системите на X. [15]
Въпреки това, X все още не е споделил подробно техническо обяснение, така че външни наблюдатели все още сглобяват причината на проблема по поведението и изтекли вътрешни коментари.
Какво да направите, ако сте заключени от X акаунта си
Ако в момента сте заседнали в цикъла YubiKey/passkey, ето практични стъпки, извлечени от по-ранните насоки на X и препоръките на експерти по сигурността. [16]
1. Опитайте от устройство, на което вече сте влезли
Ако все още имате активна X сесия на:
- Телефон,
- Таблет или
- Друг профил в браузъра,
използвайте тази активна сесия, за да:
- Отидете на Настройки → Сигурност и достъп до акаунта → Сигурност → Двуфакторна автентикация.
- Временно деактивирайте стария ключ за сигурност/passkey, който се отнася до twitter.com.
- Добавете резервен 2FA метод (автентикатор приложение или друг хардуерен ключ), ако все още нямате такъв.
- Регистрирайте отново своя YubiKey/passkey за x.com само когато проблемите с миграцията са ясно разрешени.
2. Проверете други 2FA опции
Някои потребители съобщават, че все още могат да влязат чрез: [17]
- автентикатор приложение, което са настроили по-рано,
- SMS или имейл кодове,
- резервен хардуерен ключ.
Ако можете да се удостоверите с някой от тях, отидете директно в настройките и проверете:
- Кои ключове за сигурност са изброени,
- Дали вашият ключ вече е свързан с x.com,
- И че имате поне един работещ резервен метод.
3. Използвайте формуляра за възстановяване на акаунт на X
Ако нито един метод за вход не работи и сте напълно заключени, единственият официален начин е да се свържете с поддръжката на X чрез формуляра „възстановяване на достъп до акаунта“, до който, според множество потребители в Reddit, са прибягнали. [18]
Този процес може да е бавен и няма гаранция за успех, но това е единственият легитимен начин за възстановяване, който X предлага, ако 2FA не работи.
4. Избягвайте напълно да изключвате 2FA (ако е възможно)
Самите предупреждения на X преди крайния срок гласяха, че след 10 ноември можете да: [19]
- Да се регистрирате отново с ключ или passkey,
- Да преминете към друг метод за 2FA, или
- Да изключите напълно 2FA (което те самите „силно обезкуражават“).
Освен ако не е абсолютно наложително да влезете веднага и нямате други опции, опитайте се да не изключвате трайно 2FA. Това излага акаунта ви на фишинг, повторна употреба на пароли и SIM‑swap атаки — точно тези заплахи, които защитните ключове трябва да предотвратят.
Ако временно отслабите сигурността си, за да възстановите достъпа, планирайте да:
- Добавите приложение за удостоверяване или резервен ключ веднага, и
- Включите отново силна 2FA веднага щом системите за вход на X са стабилни.
5. Внимавайте за фишинг имейли и фалшива „поддръжка“
Инциденти като този са магнит за измамници. Внимавайте за:
- Имейли, които твърдят, че са от „X Security“ и ви молят да „оправите“ ключа си,
- Директни съобщения, предлагащи да възстановят акаунта ви срещу заплащане,
- Линкове, които изглеждат като x.com, но не са (допълнителни знаци, странни поддомейни и др.).
Ако ще кликате на нещо, въведете x.com сами в браузъра и навигирайте през официалния интерфейс, вместо да се доверявате на линкове в съобщения.
Още едно препятствие за дългия, хаотичен ребранд на X
От гледна точка на брандирането, този срив е символично брутален.
- Дизайн сайтът Creative Bloq наскоро нарече преобразяването на X от Мъск „едно от най-хаотичните ребрандирания на десетилетието“, отбелязвайки, че хората все още инстинктивно наричат платформата „X, по-рано известен като Twitter“ повече от две години по-късно. [20]
- В тази статия се посочва, че един от последните технически остатъци от Twitter — URL адресът twitter.com — най-накрая е пенсиониран, като влизанията вече напълно пренасочват към x.com.
Сега самият акт на „погребване“ на twitter.com върна старата марка в заглавията, тъй като потребителите се оплакват, че „Twitter пак обърка нещата“, докато се опитват да поправят последните следи от… Twitter. [21]
За критиците този инцидент се вписва в модел, който те подчертават от придобиването от Мъск насам: агресивни, наложени отгоре надолу промени, въведени с висока скорост, с намалени инженерни екипи и привидно ограничени предпазни механизми. Множество медии днес изрично представят прекъсването като последното от поредица оперативни спънки след сделката за 44 милиарда долара. [22]
Означава ли това, че passkeys и хардуерните ключове са лоша идея?
Кратък отговор: не — но това е предупреждение как да ги внедрявате.
Доклади от BleepingComputer, The Verge и The Register всички подчертават, че хардуерните ключове и passkeys остават едни от най-сигурните форми на удостоверяване, налични днес. Те драстично намаляват риска от фишинг, защото ще реагират само на точния домейн, на който са били регистрирани. [23]
Това, което се обърка тук, не беше основната технология. Това беше:
- Лошо планирана миграция (налагане на повторна регистрация с твърд краен срок),
- Бъгав процес на повторна регистрация без надеждна алтернатива,
- Слаба комуникация по време на прекъсването, оставяйки потребителите да разследват публично проблемите със сигурността. [24]
За другите платформи, които наблюдават този процес, поуката е ясна:
Ако ще прехвърляте милиони потребители към нов домейн с хардуерно обвързани идентификационни данни, ви трябват железни тестове, поетапно внедряване и стабилни възстановителни механизми.
ЧЗВ: Проблем с X security key, 13 ноември 2025
Какво предизвика проблема с влизането в X?
Задължителна миграция на security keys и passkeys от домейна twitter.com към x.com, комбинирана със счупен процес на повторна регистрация, който вкара потребителите в цикли с YubiKey/passkey и блокира достъпа до настройките на акаунта. [25]
Кои бяха най-засегнати?
Потребителите, които са конфигурирали хардуерни security keys или passkeys за 2FA, особено тези, чиито ключове първоначално са били регистрирани, когато влизанията все още са използвали twitter.com. Много от тях бяха временно или все още напълно заключени. [26]
Проблемът отстранен ли е вече (13 ноември 2025)?
Справки от Windows Central и Reddit показват, че много потребители могат отново да влизат, след като X очевидно е върнал част от промените, но други все още са блокирани, а X не е публикувал подробен публичен анализ на проблема. [27]
X беше ли хакнат?
Няма публични доказателства за хакване или изтичане на данни. X и независими доклади по сигурността приписват инцидента на неуспешна вътрешна миграция на security key, а не на външна атака. [28]
Трябва ли да изключа 2FA в X акаунта си?
Само като последна мярка. Изключването на 2FA прави акаунта ви много по-лесен за компрометиране. Ако трябва да отслабите сигурността, за да възстановите достъпа, добавете приложение за удостоверяване или резервен ключ и включете отново силна 2FA веднага щом системите на X се стабилизират. [29]
Към 13 ноември кризата постепенно се разплита, но щетите върху доверието на потребителите — и върху вече спорния ребранд на X — може да останат много по-дълго от самия проблем.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.windowscentral.com, 7. www.reddit.com, 8. www.reddit.com, 9. www.newsbytesapp.com, 10. www.androidcentral.com, 11. www.theverge.com, 12. www.techbuzz.ai, 13. www.theregister.com, 14. www.theregister.com, 15. www.newsbytesapp.com, 16. www.bleepingcomputer.com, 17. www.androidcentral.com, 18. www.reddit.com, 19. www.bleepingcomputer.com, 20. www.creativebloq.com, 21. www.creativebloq.com, 22. www.techbuzz.ai, 23. www.bleepingcomputer.com, 24. www.techbuzz.ai, 25. www.newsbytesapp.com, 26. www.techbuzz.ai, 27. www.windowscentral.com, 28. www.theregister.com, 29. www.bleepingcomputer.com
