Miliony uživatelů X (dříve Twitteru), kteří udělali „všechno správně“ pro zabezpečení účtu, strávily posledních 24 hodin uzamčeni, uvízli v nekonečných smyčkách dvoufaktorového ověřování a přivítala je matoucí zpráva:
„Musíte znovu zaregistrovat svůj YubiKey.“
Tato chyba přímo souvisí s dlouhodobou snahou Elona Muska vymazat poslední stopy po twitter.com a přesunout přihlašování plně na x.com — což je změna značky a domény, kterou kritici již označili za jeden z nejchaotičtějších rebrandingů v technologickém světě. [1]
Zde je, co se stalo, co je dnes nového (13. listopadu 2025) a co můžete dělat, pokud je váš účet X momentálně uvězněn v ověřovacím pekle.
Co se stalo: Přepnutí bezpečnostních klíčů X se zvrtlo
Ve dnech 24.–27. října X tiše varoval uživatele, že pokud používají hardwarový bezpečnostní klíč (například YubiKey) nebo přístupový klíč pro dvoufaktorové ověřování (2FA), museli jej znovu zaregistrovat pro novou doménu x.com do 10. listopadu 2025, jinak riskují ztrátu přístupu. [2]
Tým bezpečnosti X tehdy zdůraznil, že:
- Změna „nesouvisí s žádným bezpečnostním incidentem,“
- Týkala se pouze bezpečnostních klíčů a přístupových klíčů,
- A byla nutná, protože tyto klíče jsou kryptograficky vázány na twitter.com, který chce X zrušit. [3]
Bezpečnostní weby jako BleepingComputer a The Register vysvětlily, že jakmile twitter.com zmizí, klíče vázané na tuto doménu prostě nebudou fungovat — proto je nutné je znovu zaregistrovat pro x.com. [4]
To byl plán.
Realita přišla tento týden.
12.–13. listopadu: Chyba YubiKey a nekonečné smyčky přihlášení
Od pozdních hodin 12. listopadu (amerického času) až do brzkých ranních hodin 13. listopadu 2025 začali uživatelé X hlásit, že se již nemohou přihlásit na webu ani v mobilu:
- Po zadání hesla jim bylo řečeno, že „musí znovu zaregistrovat [svůj] YubiKey“, aby jej přiřadili k x.com. [5]
- Když se pokusili postupovat podle instrukcí, proces se prostě… zacyklil.
- Někteří nikdy žádný YubiKey nevlastnili, ale přesto byli nuceni na stejnou obrazovku „znovu zaregistrujte svůj YubiKey“. [6]
Android Central, Windows Central a TechCrunch zdokumentovaly stejný vzorec: globální problém s přihlášením u účtů vázaných na bezpečnostní klíče nebo passkeys, což často vedlo k ověřovacímu patu nebo úplnému zablokování, i když uživatelé postupovali správně podle instrukcí. [7]
Bezpečnostně zaměřený portál The Tech Buzz to popsal přímo jako „nepovedenou migraci bezpečnostních klíčů“, která proměnila správu domény v „autentizační peklo“ pro nejopatrnější uživatele platformy. [8]
Dnešní aktualizace (13. listopadu 2025): Částečné zotavení, přetrvávající chaos
Nové zprávy a příspěvky uživatelů dnes naznačují, že nejhorší část výpadku polevuje — ale ne všichni mají stále přístup.
Redakce: Problém potvrzen, X stále převážně mlčí
- NewsBytes uvádí, že X „čelí zásadnímu problému po povinné změně dvoufaktorového ověřování“, což uživatele „uvěznilo v nekonečných smyčkách nebo je zcela zablokovalo“, a poznamenává, že X se k chybě veřejně nevyjádřil. [9]
- Storyboard18 rovněž popisuje „zpackanou bezpečnostní aktualizaci“, která uživatele zablokovala nebo uvěznila v přihlašovacích smyčkách — opět zdůrazňuje, že X neposkytl žádné oficiální vysvětlení, zatímco Elon Musk dál běžně přispívá ze svého účtu. [10]
- Tech Buzz dnes ráno aktualizoval svůj článek, aby odrážel pokračující selhání autentizace a přetrvávající absenci oficiálního vyjádření od X. [11]
TechCrunch poznamenává, že X „nereagoval na žádost o komentář“, přestože jeho vlastní zpravodajství o přihlašování popisovalo nekonečné smyčky a rozsáhlé zablokování po termínu 10. listopadu. [12]
Hlášení uživatelů: probíhá návrat zpět, ale není plošný
Windows Centralův živý blog s odkazem na interní zdroje uvedl 12. listopadu, že inženýři X vracejí zpět nedávné změny, a do odpoledne se autorovi podařilo znovu přihlásit, zatímco hlášení o výpadku na DownDetectoru začala klesat. [13]
V komunitách Redditu r/Yubikey a r/Twitter uživatelé popisují: [14]
- Globální problémy s přihlašováním do X pomocí YubiKey/passkey.
- Matoucí výzvy k „opětovnému zaregistrování vašeho YubiKey“ i pro lidi, kteří používali pouze passkey nebo autentizační aplikace.
- Vlna komentářů dnes ráno jako „Jsem zpět“ a „Opraveno pro oba mé účty“ — vedle dalších, kteří uvádějí, že jsou stále zablokovaní.
Jeden široce sdílený komentář na Redditu odkazuje na příspěvek ověřeného inženýra X, který uvádí, že „problém s přihlášením pomocí bezpečnostního klíče by měl být brzy vyřešen“, ale oprava se zjevně zavádí nerovnoměrně: některé účty už fungují, jiné jsou stále zaseknuté ve smyčce. [15]
Shrnutí k 13. listopadu:
- Výpadek se zlepšuje, ale stále není zcela vyřešen.
- Stále neexistuje žádná podrobná veřejná analýza příčiny od X.
Koho se to týká — a koho ne?
Na základě zpráv v dnešním zpravodajství a příspěvků uživatelů: [16]
Nejvíce postiženi:
- Účty, které někdy nastavily:
- hardwarový bezpečnostní klíč (YubiKey nebo podobný), nebo
- passkey (platformní autentizátor využívající Face ID, Touch ID, Windows Hello atd.)
- Zejména uživatelé, jejichž klíče byly původně registrovány ještě v době, kdy služba používala pro přihlášení twitter.com.
Většinou nepostiženi (zatím):
- Účty používající autentizační aplikace (TOTP aplikace),
- Účty používající SMS nebo e-mailové kódy pro 2FA,
- Účty bez 2FA (i když to je z hlediska bezpečnosti důrazně nedoporučeno).
Ironií je, že lidé, kteří investovali do nejsilnějších ochran — hardwarových tokenů a přístupových klíčů — byli touto zpackanou migrací potrestáni nejvíce. Několik uživatelských hlášení také naznačuje, že někteří uživatelé bez klíčů byli do chyby zataženi kvůli chybné přihlašovací sekvenci, která jejich nastavení správně nerozpoznala. [17]
Proč přechod z twitter.com na x.com rozbil přihlášení
Abyste pochopili výpadek, musíte pochopit, jak fungují bezpečnostní klíče a přístupové klíče.
Na rozdíl od hesel jsou WebAuthn/FIDO2 bezpečnostní klíče a přístupové klíče vázány na konkrétní doménu. Když jste poprvé zaregistrovali klíč pro twitter.com, kryptograficky se uzamkl na tento přesný původ. [18]
Když se tedy X rozhodl definitivně zrušit starou doménu a přesunout přihlašování plně na x.com:
- Klíče registrované pro twitter.com přestaly odpovídat nové doméně.
- X proto vyžadoval, aby uživatelé odregistrovali a znovu zaregistrovali své klíče pro x.com.
- Samotný proces znovu‑registrace se však zdá být rozbitý, což způsobilo:
- Nekonečné smyčky zpět na obrazovku „znovu zaregistrujte svůj YubiKey“,
- Výzvy k přihlášení pomocí YubiKey u účtů, které používaly pouze přístupové klíče nebo aplikace,
- Uživatelé se nemohli dostat na stránku nastavení, kde je třeba změnu provést. [19]
X Safety dříve uživatele ujistil, že jde o jednoduchou údržbu a „nesouvisí s žádným bezpečnostním problémem,“ ale provedení zjevně nesplnilo základní očekávání spolehlivosti: bezpečnostní migrace mají lidi chránit, ne je hromadně odhlašovat. [20]
Je to hack nebo únik dat?
Doposud neexistují žádné důkazy, že by šlo o hack, únik nebo externí kybernetický útok.
- Říjnová vyjádření X označila reset klíčů za migraci domény, nikoli za reakci na incident. [21]
- Současné zpravodajství od NewsBytes, Storyboard18, TechBuzz, TechCrunch a dalších spojuje výpadek s neúspěšnou implementací plánované migrace bezpečnostních klíčů, nikoli s kompromitací systémů X. [22]
Nicméně X zatím neposkytl podrobné technické vysvětlení, takže externí pozorovatelé stále skládají příčinu na základě chování a uniklých interních komentářů.
Co dělat, pokud jste uzamčeni ze svého účtu X
Pokud jste momentálně zaseknutí v YubiKey/passkey smyčce, zde jsou praktické kroky vycházející z dřívějších pokynů X a doporučení bezpečnostních expertů. [23]
1. Zkuste to ze zařízení, kde jste již přihlášeni
Pokud máte stále aktivní relaci X na:
- Telefonu,
- Tabletu, nebo
- Jiném profilu prohlížeče,
použijte tuto přihlášenou relaci k:
- Přejděte do Nastavení → Zabezpečení a přístup k účtu → Zabezpečení → Dvoufaktorové ověření.
- Dočasně deaktivujte starý bezpečnostní klíč/passkey, který odkazuje na twitter.com.
- Přidejte záložní 2FA metodu (aplikace autentifikátoru nebo jiný hardwarový klíč), pokud ji ještě nemáte.
- Znovu zaregistrujte svůj YubiKey/passkey pro x.com pouze tehdy, až budou migrační problémy jasně vyřešeny.
2. Zkontrolujte další možnosti 2FA
Někteří uživatelé uvádějí, že se stále mohou přihlásit přes: [24]
- aplikaci autentifikátoru, kterou si dříve nastavili,
- SMS nebo e-mailové kódy,
- záložní hardwarový klíč.
Pokud se můžete ověřit některou z těchto metod, přejděte rovnou do nastavení a ověřte:
- Které bezpečnostní klíče jsou uvedeny,
- Zda je váš klíč nyní vázán na x.com,
- A že máte alespoň jednu funkční záložní metodu.
3. Použijte formulář pro obnovení účtu X
Pokud žádná metoda přihlášení nefunguje a jste zcela zablokováni, jedinou oficiální cestou je kontaktovat podporu X prostřednictvím formuláře „získat zpět přístup ke svému účtu“, ke kterému se podle více uživatelů na Redditu museli uchýlit. [25]
Tento proces může být pomalý a není zaručen úspěch, ale je to jediná legitimní cesta k obnovení, kterou X nabízí, pokud je 2FA rozbité.
4. Vyhněte se úplnému vypnutí 2FA (pokud to jde)
Vlastní varování X před termínem říkala, že po 10. listopadu můžete: [26]
- Znovu zaregistrovat svůj klíč nebo přístupový klíč,
- Přepnout na jinou metodu 2FA, nebo
- Vypnout 2FA úplně (což sami „důrazně nedoporučují“).
Pokud se opravdu nemusíte dostat zpět okamžitě a nemáte jiné možnosti, snažte se trvale nevypínat 2FA. Tím vystavujete svůj účet phishingu, opakovanému použití hesla a útokům typu SIM‑swap — přesně těm hrozbám, kterým mají bezpečnostní klíče zabránit.
Pokud dočasně oslabíte svou bezpečnost kvůli obnovení přístupu, naplánujte si:
- Ihned přidat ověřovací aplikaci nebo záložní klíč, a
- Znovu zapnout silné 2FA, jakmile budou přihlašovací systémy X stabilní.
5. Dávejte pozor na phishingové e-maily a falešnou „podporu“
Podobné incidenty jsou magnetem pro podvodníky. Dávejte si pozor na:
- E-maily vydávající se za „X Security“ s výzvou k „opravě“ vašeho klíče,
- Přímé zprávy nabízející obnovení účtu za poplatek,
- Odkazy, které vypadají jako x.com, ale nejsou (další znaky, podivné subdomény atd.).
Pokud na něco klikáte, napište si x.com sami do prohlížeče a přejděte přes oficiální rozhraní, místo abyste důvěřovali odkazům ve zprávách.
Poslední klopýtnutí v dlouhém, chaotickém rebrandingu X
Z pohledu značky je tento výpadek symbolicky brutální.
- Designový web Creative Bloq nedávno označil Muskův redesign X za „jeden z nejchaotičtějších rebrandingů desetiletí“ a poznamenal, že lidé stále instinktivně označují platformu jako „X, dříve známý jako Twitter“ i více než dva roky poté. [27]
- Tento článek poukázal na to, že jeden z posledních technických pozůstatků Twitteru — URL adresa twitter.com — byl konečně vyřazen, přičemž přihlášení jsou nyní plně přesměrována na x.com.
Samotný akt pohřbení twitter.com nyní vrátil starou značku zpět do titulků, protože uživatelé si stěžují, že „Twitter to zase pokazil“, zatímco se snaží opravit poslední stopy… Twitteru. [28]
Pro kritiky tento incident zapadá do vzorce, na který upozorňují od Muskova převzetí: agresivní, shora řízené změny zaváděné vysokou rychlostí, s omezenými inženýrskými týmy a zdánlivě omezenými bezpečnostními opatřeními. Řada médií dnes výpadek výslovně označuje za poslední z řady provozních přešlapů od převzetí za 44 miliard dolarů. [29]
Znamená to, že passkeys a bezpečnostní klíče jsou špatný nápad?
Krátká odpověď: ne — ale je to varování, jak je nasazovat.
Zprávy od BleepingComputer, The Verge a The Register všechny zdůrazňují, že hardwarové klíče a passkeys zůstávají jednou z nejbezpečnějších forem ověřování, které jsou dnes k dispozici. Výrazně snižují riziko phishingu, protože reagují pouze na přesné doméně, na které byly zaregistrovány. [30]
To, co zde selhalo, nebyla základní technologie. Bylo to:
- Špatně zvládnuté plánování migrace (vynucení opětovné registrace proti tvrdému termínu),
- Chybný proces opětovné registrace bez spolehlivé záložní možnosti,
- Slabá komunikace během výpadku, která nechala uživatele řešit bezpečnostní selhání veřejně. [31]
Pro ostatní platformy, které to sledují, je ponaučení jasné:
Pokud chcete přesunout miliony uživatelů na novou doménu s hardwarově vázanými přihlašovacími údaji, potřebujete neprůstřelné testování, postupné zavádění a robustní možnosti obnovy.
FAQ: Výpadek bezpečnostních klíčů X, 13. listopadu 2025
Co spustilo výpadek přihlašování do X?
Vynucená migrace bezpečnostních klíčů a passkey z domény twitter.com na x.com, v kombinaci s nefunkčním procesem opětovné registrace, který uživatele uvěznil v cyklech YubiKey/passkey a zablokoval přístup k nastavení účtu. [32]
Koho to postihlo nejvíce?
Uživatelé, kteří měli nastavené hardwarové bezpečnostní klíče nebo passkey pro 2FA, zejména ti, jejichž klíče byly původně registrovány, když se přihlašovalo ještě přes twitter.com. Mnozí z nich byli dočasně nebo stále zcela zablokováni. [33]
Je problém nyní (13. listopadu 2025) vyřešen?
Zprávy z Windows Central a Redditu ukazují, že mnoho uživatelů se již může znovu přihlásit poté, co X zřejmě část změn vrátil zpět, ale někteří zůstávají zaseknutí a X nevydal podrobnou veřejnou zprávu o incidentu. [34]
Byl X napaden?
Neexistují žádné veřejné důkazy o útoku nebo úniku dat. X i nezávislé bezpečnostní zprávy připisují incident nezdařené interní migraci bezpečnostních klíčů, nikoli vnějšímu útoku. [35]
Mám vypnout 2FA na svém účtu X?
Pouze jako krajní řešení. Vypnutí 2FA výrazně usnadní kompromitaci vašeho účtu. Pokud musíte kvůli obnovení přístupu snížit zabezpečení, přidejte autentizační aplikaci nebo záložní klíč a silné 2FA zapněte zpět, jakmile se systémy X stabilizují. [36]
K 13. listopadu se krize pomalu uklidňuje, ale poškození důvěry uživatelů — a už tak kontroverzní rebrand X — může přetrvat mnohem déle než samotný výpadek.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
