旧twitter.comのcssとかjsとかそのまんま使ってる→ソースをちょっとみただけではなにが問題なのかわからないスタートは2chだそうで。問題点パスワード抜きの可能性もある送信フォームあったけど記録されてるかはわからないね。トークンとられてパスワードも抜かれたのならもうウハウハだろうけど。iframeで認証ページが6つほどあったのでトークンが何個かとられててもおかしくない。いうか、フォームでパスワードゲットできたのなら、アプリ連携解除されても、また手動でもアプリ連携設定できるよね。認証方法がまずくね?トークンをリクエストするときにコールバック先を指定できるなら意図しない動作を利用者にバレずに引き起こすことができる。今回のものは、認証後にそれぞれのクライアントが予定していないところへコールバックしていた。あれっ、でも、トークンをリクエストするときって、コンシューマーキーとコンシューマーシークレットが必要なんじゃ・・・?なんでコンシューマーキーとコンシューマーシークレットが使われてるの。ウワサによればだけど、コンシューマーキーとかは暗号化されずに保存されていたものもあるそうだ。そんなのでは容易に抜き取ることができるだろう。いうか、コンシューマーキーはそもそもクライアントサイドにあるものが多いので漏れるのは無理もないかもしれない。そもそもコールバックはブラウザ用で使われるもの、モバイル端末の認証を容易にするものではない、という見方もできるかもしれない。Twitter社もそのようなものは想定外だったのかもしれない。いうか、これ、頻繁につかいそうなコンシューマーキーとかが使われてるので連携アプリ解除とかしづらい感ある・あと気づきにくい、でも仕方ない。すべて解除するしかないだろう。対応方法とか方針とかじゃあどうするべきなのか。PIN認証をする→コールバックを起こさせないようにする。負担が増えるけど仕方ない。コールバックのドメインを制限する。→意図しないところへのコールバックを防ぐもしDMを送ってしまっていたら→もう全部のアプリ連携を解除するしかないでしょう。このくらいしか思いつかなかった。パターンけっこう巧妙だったし、いくつかパターンがあるみたいだった。ウーン、センスあるなあと。短縮URLの種類p.tlxtw.mewk.tk9oo.jp[追記]もし自分のアカウントからDMを送っていることがわかったらとりあえず「これはクリックしないでください」とか送って被害者を増やさないようにしましょう。該当するメッセージを消去しておくパソコンのWeb版Twitterのアプリ連携より、すべての連携を解除する(ここで、iOSの連携は解除できないので、Twitter社の対応を待つしかないと思います。すべて解除した状態でもメッセージが勝手に送信される場合は、iOSのトークンが盗られているというのが濃厚でしょう。)一度アクセストークンをとられてしまうと、oAuthの仕様上、こちらから連携を解除するしかありません。cookieをこちらで消去しても無意味。一度アプリ連携を解除すれば、以前のトークンは無効化されるよう[要出典]なので、やってみるのもいいかもしれません。知らないドメインのページは開くときに細心の注意を。わからなければ開かないほうが良いと思います。これみてよってリンクを送ってきたら「それ、何?」と聞き返すように問うてみましょう。いうか、このページをよんだ方なら、フィッシングサイトだろうなと察しがつくと思うので、「それ、乗っ取られたんじゃね?」とか言って口頭で、もしくは文面で対応法を教えてあげましょう。このページのURLを貼らないこと。8:26コメントありがとうございます。確実に隠蔽は不可能だと思います。