Les réseaux sociaux décentralisés ne sont pas à l’abri du spam piloté par les botnets, comme le démontre une récente attaque de spam sur Bluesky. Plus tôt ce mois-ci, un flot de messages indiquant « n’oubliez pas de toujours voter Trump » est apparu sur le réseau de Bluesky posté par des comptes avec des noms aléatoires et des avatars par défaut.

Le spam ne provenait pas de Bluesky, cependant. Au lieu de cela, il a atteint Bluesky en traversant d’abord deux autres réseaux décentralisés : Mastodon et Nostr. Pour ce faire, le botnet a exploité des « ponts », ou des chemins construits entre les réseaux qui les rendent interopérables.

Bien que l’attaque de spam ait eu lieu le 11 mai, un post-mortem d’un scientifique des données publié il y a quelques jours seulement, attirant l’attention de l’événement, a attiré l’attention. Comme l’explique le blog Conspirador Norteño, les comptes qui ont spammé Bluesky avaient été créés via le protocole de réseau social Nostr.

Le protocole de Nostr alimente des applications comme Damus, Nostur, Nos et autres. C’est également actuellement le réseau de choix pour le cofondateur et ancien PDG de Twitter, Jack Dorsey, en raison de sa popularité auprès des utilisateurs de Bitcoin. Chez Twitter, cependant, Dorsey avait soutenu le projet qui est devenu plus tard la start-up de réseau social décentralisée Bluesky. Mais il a depuis quitté son conseil d’administration, disant pense-t-il l’équipe de Bluesky répète maintenant les mêmes erreurs que lui et d’autres ont commises chez Twitter. Dorsey s’engage aujourd’hui régulièrement sur Nostr, qu’il trouve être un protocole plus ouvert.

Cela peut sembler étrange, mais même si Nostr et des plateformes comme Mastodon et Bluesky sont tous des réseaux décentralisés, ils ne se parlent pas réellement. Mastodon utilise le protocole ActivityPub, qui est désormais également adopté par Meta dans Instagram Threads, et d’autres applications et services, notamment Flipboard et son rival open source Substack, Ghost.

Pour permettre aux poteaux d’un réseau de passer à un autre, des ponts sont construits. Déjà, cela a été un point de discorde entre certains utilisateurs de réseaux sociaux décentralisés, car différents groupes se sont disputés sur la façon dont les ponts devraient être construits tandis que d’autres se demandent si les ponts devraient même exister en premier lieu.

Ce dernier groupe pourrait maintenant citer cet événement récent comme un exemple des inconvénients des ponts, car le botnet a intelligemment exploité les ponts pour spammer un autre réseau.

Selon l’analyse de l’attaque, le spam Nostr a d’abord été envoyé à Mastodon via le pont Momostr.pink. Ensuite, un autre pont appelé Bridgy Fed a envoyé le contenu de Mastodon à Bluesky.

« Les empreintes digitales de ce processus apparaissent dans les versions Bluesky des messages, où les poignées de compte ont le format npub.momostr.pink.ap.brid.gy », a écrit conspirator0@newsie.social sur Sous-pile. « La première partie de ceci (de npub jusqu’au premier point) est la clé publique du compte Nostr, tandis que le reste (momostr.pink.ap.brid.gy) contient quelques indications quant aux outils utilisés pour relier les postes (Momostr et Bridgy Fed). »

Le botnet a pu publier le spam « votez Trump » en continu jusqu’à ce que Bluesky prenne des mesures contre les comptes de spam. L’ensemble de données pour l’analyse était incomplet car Bluesky a commencé à supprimer des comptes pendant la collecte des données. Pourtant, d’après ce qui a été collecté, il semble qu’au moins 228 comptes aient réussi à publier 470 fois en seulement six heures. Environ la moitié d’entre eux étaient des messages « votez Trump », tandis que d’autres ont posté « hello world » avec un adjectif aléatoire pris en sandwich entre les deux mots.

Bluesky a atténué l’attaque assez rapidement et a supprimé les comptes de spam. La société n’a pas encore répondu aux demandes de commentaires pour savoir si elle allait changer son approche du spam ou des ponts.

Comme l’a souligné le site The Fediverse Report, ce type d’attaque de spam a été possible parce que Nostr facilite particulièrement la création de nouveaux comptes. L’incident soulève une fois de plus la question de savoir ce qu’est réellement le fédiverse – c’est-à-dire les médias sociaux décentralisés. Si vous rejoignez Bluesky, consentez-vous à faire partie d’un réseau qui inclut le contenu de Nostr ? Le réseau de Bluesky inclut-il Mastodon, parce qu’un pont a été construit ?

Ce sont des questions qui n’ont pas encore de réponses solides.