die URLs sind nicht gefälscht, nur speziell aufgebaut (länger als 4096 zeichen). wenn skype eine solche URL verarbeitet tritt ein buffer overflow auf, und der lässt sich dazu benutzen dem programm beliebigen code unterzuschieben, den es dann ausführt.
sprich wenn jemand auf eine solche URL klickt, führt sein computer ein fremdes programm aus. dieses darf dann alles tun, was der angemeldete benutzer auch darf.