Twitterカードが貼られたツイートはすべて詐欺です、という時代 - Qiita

最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ

[Helfard]

イーロンが引っ掛かったら爆速で修正されそう。

[renu]

UAで判定してTwitterBotが来た時だけ転送するとカードを偽装できる手口。Twitter側はTwitterBotとは別のUAでもチェックして、転送先が違う時は、そのユーザーをBanするくらいのことしないとダメだろう

[findcafe]

Twitter(X) のカード取得を利用したリダイレクト詐欺の手口。おそらく具体的に解説したものは初か？ もし対応すると二重三重なチェックをし、別のURLが返ってくるのであればスパムと検知... https://misskey.dev/notes/9myid1lckc

[miki3k]

短縮URLのリダイレクトで、任意の数パーセントだけフィッシングに転送とかになると検証も難しいな。バレたら正規の転送に戻せば足もつきにくい

[call_me_nots]

X は詐欺師だらけのプラットフォームとして付き合っていくしかない（なぜ付き合う必要があるのか

[mjy]

この手法、推測できたのすごいね。たぶん正解でしょう。User-Agent で分けているのか、アクセスを受けた時間で分けるのか。

[fusionstar]

この方法ならどこのドメイン相手でも他サイトを騙ることが可能だからイーロンマスクがどうとかいう問題ではないような。 短縮 URL というシステム自体の崩壊。

[matchy2]

これってTwitter XだけでなくてOGP的なものを使う全サービスでありうるのでは

[sisya]

まず、ユーザアイコンからして怪しいだろというのはあるが、UAでページ振り分けは頭が痛い。かつて某通販サイトも似たような邪悪に手を染めていたが、結局対策はされないまま自主的にやめたのではなかっただろうか。

[edgeknight]

これくらいの字数のツイートなら、リプライしようとするとリプライ先のツイートのオリジナルのURLが分かるからそれで判別できる事に気づいた

[tick2tack]

TwitterカードAPIへの対応とリンク先への転送とで全く違うサイトを返すことでフィッシング詐欺などができる問題。Twitterに限らずこういう仕組みありそう。/　なんか短縮URL批判コメが多いけど本質そこじゃないよね？

[tmatsuu]

X(Twitter)以外のSNSでも同様の問題は発生しそうだ。はてなブックマークのシェア機能もリダイレクト実装だからこの詐欺サイトに似た恩恵を受けているので、もしXが対策したらはてブのシェアにも影響がでるかもしれない

[s17er]

URLって概念を取り除く見せ方は止めたほうがいいよな

[azumi_s]

「イーロン・マスクは何故Twitterを殺したのか」であるな。

[aceraceae]

最近こういうのばっかりだし報告してもぜんぜん対処されない感じがある。

[tettekete37564]

そういうチェックでcurl 使う時は -v も付けておくと良いですよ。手癖でcurl -sLv まで打ってしまう自分。TLS関連の情報も出力されるからやや冗長なんだけど。用途によっては -D でも賄える事アリ

[rt24]

嘘を嘘と見抜ける人でないと（Xを使うのは）難しい

[shag]

X危険すぎて子供にも親にもやらせたくない。

[s025236]

カードは利用申請必要なんだからX側がドメインの所有者チェックしてリダイレクト時に登録済ドメインかみれば良いだけでは？SPA対応でUA見分けてリダイレクトすることはあるのでリダイレクト禁止は無理だよ

[ya--mada]

Xポストにリンクを貼るとX APIがリンク先を読んでサマリーを作ってカード状に表示を作る機能を、Twitterカードと呼ぶらしい。 https://keywordmap.cinc-j.co.jp/monthly-seo

[syamatsumi]

次から次へとまぁ大変なことで……　利用者はご注意頂ければと。

[hinaloe]

手口自体は目新しくないが、「何年か前から末尾のURLは省略されるようになった」「カードに表示されるURLがリンクのものでなくリダイレクト先」ってあたりが問題を悪化させてるのか……

[pwatermark]

コレはTwitterに実害が発生しないといけないやつだな

[brusky]

詐欺のコスパがどんどん良くなってるんだろうなぁ。国外からでもどんどん仕掛けられるし。

[Mu_KuP]

レターパックより悪質だな…

[s_komasato]

youtubeの広告といい詐欺まがい横行しすぎて辟易する

[misomico]

これはやばいな

[WindyWindriyas]

だから今時短縮URL使ってんのなんてクラッカーと情弱企業広報しかおらんて…

[dekaino]

デジタルミレニアム著作権法違反で通報して潰せる気はするがキリがないだろうな。短縮URLはホワイトリスト方式でポスト数がある閾値を超える場合はホワイトリスト登録が有償ってオチになりそう。

[himabato]

ひぇ…

[nakamura-kenichi]

ホンマ、短縮URLはすっかり詐欺の温床になってもうてんもんなあ。

[lets_skeptic]

Xはカードを作るための情報を引っ張ってくる時に、普通のユーザーのChromeのフリをして引っ張ってくるといいんじゃないかな

[realtank]

これ運営側はどうやって対策すればいいんだ？

[teppeis]

カード情報取得時にリダイレクトを出し分けてる説か。対策として単純にリダイレクト先を読まないようにしちゃうと、はてブみたいな挙動が動かなくなっちゃうね

[monopoo]

怖すぎ。こんなん見破れる自信ない。

[sho]

うーん、普通にセキュリティホールだなぁ

[zinota88]

今短縮urlとか怖くてクリック出来ないよね

[inazuma2073]

URL短縮サービスが悪の巣窟みたいになってきた。 / これ画像貼っても防げるんじゃね？

[buhoho]

というかもうt.co とか使うなー。ナイーブにweb標準の「リンク」って機能を使えー。(利用者のアクセス記録を追跡したいからやめないだろうけど。邪悪な機能)

[deep_one]

さすがペケ。