Le passage de Twitter à x.com, un cadeau pour les escrocs du phishing

• Effet secondaire de la fonctionnalité de réécriture des liens de Twitter/X :

  • Depuis le 9 avril, Twitter/X a commencé à modifier automatiquement en "x.com" les liens mentionnant "twitter.com"
  • Mais au cours des dernières 48 heures, des dizaines de nouveaux noms de domaine ont été enregistrés, montrant comment ce changement peut être exploité
  • Par exemple, fedetwitter[.]com était jusqu’à récemment affiché comme fedex.com dans les tweets

• Exemples de domaines nouvellement enregistrés :

  • carfatwitter.com : affiché comme carfax.com sur Twitter/X
  • goodrtwitter.com (goodrx.com), neobutwitter.com (neobux.com), roblotwitter.com (roblox.com), square-enitwitter.com (square-enix.com), yandetwitter.com (yandex.com), etc.
  • En visitant ces domaines, un message s’affiche : "Are you serious, X Corp?"
  • Il semble qu’un utilisateur de Mastodon les ait enregistrés de manière "défensive" pour empêcher des escrocs de les acheter

• Enregistrements défensifs de domaines par des utilisateurs japonais :

  • netflitwitter.com (affiché comme netflix.com) affiche un nom d’utilisateur Twitter/X accompagné du message indiquant qu’il a été acquis "pour éviter qu’il soit utilisé à des fins malveillantes"
  • space-twitter.com semble avoir été enregistré par l’utilisateur "amplest0e" et s’affiche pour les utilisateurs de Twitter/X comme le site du CEO, "space-x.com"
  • ametwitter.com redirige déjà vers le vrai site americanexpress.com

• Risques potentiels de phishing :

  • Certains domaines nouvellement enregistrés ne pointent actuellement vers rien et les enregistrements d’inscription ne contiennent pas d’informations de contact utiles
  • Par exemple, firefotwitter[.]com (firefox.com), ngintwitter[.]com (nginx.com), webetwitter[.]com (webex.com), etc.
  • setwitter.com (affiché comme sex.com) redirige vers un billet de blog alertant sur ce changement récent et son potentiel d’usage pour le phishing

• Avis d’expert :

  • Sean McNee, vice-président chez DomainTools, estime que Twitter/X ne semble pas avoir correctement limité ses efforts de redirection
  • Il souligne que des acteurs malveillants pourraient exploiter cette opportunité pour détourner le trafic depuis des sites ou marques légitimes
  • Il est également notable que d’autres marques mondiales populaires, comme Rolex ou Linux, figuraient aussi dans la liste des domaines enregistrés

• Réactions des utilisateurs :

  • Cette erreur manifeste a suscité amusement et étonnement chez de nombreux anciens utilisateurs partis vers d’autres plateformes sociales depuis la prise de contrôle par le nouveau CEO
  • Matthew Garrett, professeur à l’école d’information de l’UC Berkeley, a résumé cela ainsi : "Ce n’est pas la chose la plus drôle que je puisse imaginer, mais on n’en est pas loin"

L’avis de GN⁺

• Cet incident montre qu’il faut réfléchir avec prudence à l’enregistrement des domaines et à la sécurité. Le changement de Twitter/X illustre comment une modification peut être involontairement détournée
• Chaque entreprise devrait sécuriser à l’avance des domaines proches de sa marque ou de ses services afin d’éviter des usurpations malveillantes. Le fait que certains utilisateurs l’aient fait de manière préventive est positif
• Cependant, l’acquisition défensive de domaines n’est pas forcément simple pour un utilisateur ordinaire. Une réponse à l’échelle des entreprises semble nécessaire
• Twitter/X devra mettre en place des correctifs techniques pour cette erreur. Une généralisation excessive de certains motifs de domaine semble être à l’origine du problème
• Les entreprises de réseaux sociaux devraient aussi prendre en compte les risques de sécurité lorsqu’elles modifient des fonctionnalités pour améliorer l’expérience utilisateur. Des changements précipités, sans examen ni tests suffisants, peuvent faire plus de mal que de bien

[dodok8]

On dit même que Twitter est déjà divisé entre ceux qui continuent d'utiliser Twitter et les fidèles d'Elon Musk qui parlent de X. À mon avis, le rebranding est un échec total.

[kuroneko]

REPLACE(content, 'twitter.com', 'x.com')....

Incroyable. Vraiment....

[xguru]

Pff... les sujets liés à Twitter peuvent vraiment être aussi stupides que ça...

[GN⁺]

Avis Hacker News

• Incompréhension face au fait que le processus de QA et de tests ait été escamoté pendant le rebranding de Twitter
  • L’ancienne marque était bonne et l’objectif commercial du rebranding reste flou
  • Les utilisateurs existants continueront de toute façon à l’identifier comme Twitter
  • Cela ressemble au comportement d’un PM dans le logiciel qui veut simplement « laisser sa trace »
• Certains estiment que l’idée même du rebranding est ridicule, avec une approche digne de 1984
• Si l’on a déjà manipulé des expressions régulières, c’est le genre d’erreur qu’un débutant aurait du mal à commettre
• Des doutes sont exprimés sur la manière dont un changement UX aussi sensible a pu passer d’une idée de stagiaire à la production
  • Le responsable aurait dû être conscient des risques et passer par des procédures d’audit et d’approbation
• Regret de la disparition de l’oiseau bleu et du verbe « tweet »
• Témoignage d’une personne ayant fermé son compte Twitter après le rachat par Elon Musk
  • Cela a aidé sa santé mentale et Twitter ne lui a pas tant manqué que ça
  • Si vous hésitez à fermer votre compte, c’est peut-être l’occasion d’essayer franchement
• Réaction étonnée à l’idée qu’une expression régulière erronée de quelqu’un puisse devenir un business model
• Partage du résultat d’une expérience : publication de carfatwitter.com sur Twitter, sans redirection vers carfax.com
  • L’article affirmait que ametwitter.com redirigeait vers americanexpress.com, mais en réalité ce n’est pas le cas