Le problème a été soulevé par Zap the Dingbat -ZtD-, qui publie une preuve d'exploitation. Selon ZtD, il est simplissime de forger un lien de la forme http://nom.com@domaine.tld (le caractère @ étant suivi d'un 0x01), lien qui affichera une page de site qui n'avouera, dans sa barre d'url, que la première partie de l'url en question -nom.com- mais qui en réalité orientera l'internaute vers le serveur « domaine.tld ». En d'autres termes, un http : // www.saint-nicolas.fr@p1R4t3Z.com semblera émis par le véritable site www.saint-nicolas.fr et pointera sur le site pirate.

L'exploitation est simple, efficace, laissant ouverte la voie à l'élaboration de « fausses pages » d'inscription en ligne ou d'écrans de login bidon. Ce que les professionnels de la sécurité baptisent du nom de « Scam ». ZtD, dans le cadre de son exploit, affiche une page semblant porter les couleurs de Microsoft. Elle pourrait tout aussi bien arborer celles du GIE Visa ou Amex, de Paypal ou d'un écran de connexion OWA ou RAS : les écrans de scam sont de véritables moissonneuses à crédences, des aspirateurs de mots de passe qu'il est parfois difficile de détecter. L'intelligence et le bon sens de l'usager peu parfois être le seul garde-fou contre cette forme d'abus, de piège à buses et d'obtus abouts de bout d'appas (html, bien sur)

. Web-profils.com, la place de marché du conseil et de l'ingénierie