GN⁺: 트위터의 x.com으로의 전환, 피싱 사기꾼들에게는 선물
(krebsonsecurity.com)-
Twitter/X의 링크 수정 기능의 부작용:
- 4월 9일부터 Twitter/X는 "twitter.com"을 언급하는 링크를 자동으로 "x.com"으로 수정하기 시작함
- 하지만 최근 48시간 동안 수십 개의 새로운 도메인 이름이 등록되었는데, 이를 통해 이 변경 사항이 어떻게 사용될 수 있는지 보여줌
- 예를 들어 fedetwitter[.]com은 최근까지 트윗에서 fedex.com으로 표시됨
-
새로 등록된 도메인들의 예시:
- carfatwitter.com: Twitter/X에서 carfax.com으로 표시됨
- goodrtwitter.com (goodrx.com), neobutwitter.com (neobux.com), roblotwitter.com (roblox.com), square-enitwitter.com (square-enix.com), yandetwitter.com (yandex.com) 등
- 이들 도메인에 접속하면 "Are you serious, X Corp?"라는 메시지가 표시됨
- 이는 Mastodon의 한 사용자가 사기꾼들이 구매하는 것을 막기 위해 "방어적으로" 등록한 것으로 보임
-
일본 사용자들에 의한 방어적 도메인 등록:
- netflitwitter.com (netflix.com)은 "악의적인 목적으로 사용되는 것을 방지하기 위해 취득했다"는 메시지와 함께 Twitter/X 사용자 이름을 표시함
- space-twitter.com은 "amplest0e"라는 사용자가 등록한 것으로 보이며, Twitter/X 사용자에게는 CEO의 "space-x.com"으로 표시됨
- ametwitter.com은 이미 실제 americanexpress.com으로 리디렉션됨
-
잠재적인 피싱 위험:
- 일부 새로 등록된 도메인은 현재 연결되지 않고 등록 기록에 유용한 연락처 정보가 포함되어 있지 않음
- 예를 들어 firefotwitter[.]com (firefox.com), ngintwitter[.]com (nginx.com), webetwitter[.]com (webex.com) 등
- setwitter.com (sex.com으로 표시됨)은 최근 변경 사항과 그 잠재적 피싱 사용에 대해 경고하는 블로그 게시물로 리디렉션됨
-
전문가 의견:
- DomainTools의 Sean McNee 부사장은 Twitter/X가 리디렉션 노력을 제대로 제한하지 않은 것으로 보인다고 말함
- 악의적 행위자들이 이 기회를 이용해 합법적인 사이트나 브랜드에서 트래픽을 우회시킬 수 있다고 지적함
- Rolex나 Linux 같은 다른 글로벌 인기 브랜드들도 등록된 도메인 목록에 있었던 점이 주목할 만함
-
사용자들의 반응:
- 이 명백한 실수는 새로운 CEO가 인수한 이후 다른 소셜 미디어 플랫폼으로 이주한 많은 이전 사용자들에게 즐거움과 놀라움을 안겨줌
- UC Berkeley 정보대학원의 Matthew Garrett 교수는 이를 "내가 상상할 수 있는 가장 재미있는 일은 아니지만 거기에 근접한다"고 요약함
GN⁺의 의견
- 이번 사건은 도메인 등록과 보안에 대해 신중하게 고려해야 함을 보여주는 사례임. Twitter/X의 변경이 의도치 않게 악용될 가능성을 보여줌
- 각 기업은 자사 브랜드나 서비스와 유사한 도메인을 사전에 확보하여 악의적인 도용을 방지할 필요가 있음. 일부 사용자들이 이를 선제적으로 한 것은 바람직한 행동
- 다만 방어적 도메인 확보가 일반 사용자가 하기엔 쉽지 않을 수 있음. 기업 차원의 대응이 필요해 보임
- Twitter/X는 이번 실수에 대한 기술적 보완 방안을 마련해야 할 것임. 특정 도메인 패턴에 대한 과도한 일반화가 문제의 원인이 된 듯 함
- 소셜 미디어 기업들은 사용자 편의성 개선을 위한 변경 시에 보안적 리스크도 함께 고려해야 함. 충분한 검토와 테스트 없는 성급한 변경은 득보다 실이 클 수 있음
Hacker News 의견
- Twitter의 재브랜딩 과정에서 QA와 테스트 과정이 생략된 것에 대한 어이없음
- 기존 브랜드가 좋았고 재브랜딩의 비즈니스적 목적이 불분명함
- 기존 사용자들은 계속 Twitter로 인식할 것이라는 점
- 소프트웨어에서 단순히 "흔적을 남기려는" PM의 행동과 유사함
- 재브랜딩 아이디어 자체가 웃기며, 1984년 방식의 접근이라는 의견
- 정규표현식을 다뤄본 적이 있다면 초보자가 저지르기 어려운 실수라는 지적
- 이런 민감한 UX 변경사항이 인턴의 아이디어에서 프로덕션까지 가는 과정에 의문을 제기
- 책임자가 위험성을 인지하고 감사와 승인 절차를 거쳐야 한다는 의견
- 블루 버드와 "tweet" 동사의 소멸에 대한 아쉬움
- 일론 머스크 인수 후 트위터 계정을 닫은 경험담
- 정신건강에 도움이 되었고 트위터가 그리 그립지 않았음
- 계정 폐쇄를 고민 중이라면 이번 기회에 과감히 시도해 볼 것을 추천
- 누군가의 잘못된 정규표현식이 비즈니스 모델이 될 수 있다는 점이 놀랍다는 반응
-
carfatwitter.com을 트위터에 포스팅 했는데carfax.com으로 리디렉션 되지 않았다는 실험 결과 공유- 기사에서
ametwitter.com이americanexpress.com으로 리디렉션 된다고 했으나 실제로는 그렇지 않음
- 기사에서