Кириллическая «ө» и хаусанская «ƙ» научили фишеров обманывать Chrome и Edge
Один из главных признаков безопасного соединения не помогает отличить оригинал от искусной копии.
Адресная строка давно служит последней проверкой перед вводом пароля, но два редких символа способны сделать привычный ориентир обманчивым. Иэн Маскат и Лиэнн Бриффа из Have I Been Squatted показали, что домены-двойники проходят проверки Chromium и отображаются в Chrome и Edge почти как настоящие адреса известных сервисов. На момент работы обход сохранялся в Chrome 154.
Речь идёт о символах ө и ƙ. Первый относится к кириллице, второй представляет латинскую k с крюком. Авторы зарегистрировали 20 демонстрационных доменов, похожих на Apple, SpaceX, Okta, Nike и другие бренды. Например, аррӏө[.]com визуально напоминает apple.com, а oƙta[.]com выглядит почти как okta.com, хотя DNS хранит оба адреса в иной форме.
Chromium обычно защищает от подобных гомографических атак с помощью Punycode. Если домен выглядит подозрительно, браузер должен показать техническую запись вида xn--80a6aa68c8d.com вместо привычных Unicode-символов. Но ө отсутствует в одном из списков похожих знаков, поэтому проверка целиком не срабатывает и адрес остаётся визуально убедительным.
Второй защитный слой тоже даёт сбой. Chromium строит упрощённый «скелет» домена и сравнивает его почти с 8500 популярными сайтами. У ƙ крюк сохраняется как отдельный знак, а у ө остаётся черта, поэтому получившаяся строка уже не совпадает с оригиналом. Браузер считает адрес достаточно отличающимся и не переключает его на Punycode.
Мошенники учатся каждый день. Вы — нет.
Дополнительные предупреждения при переходе спасают не во всех случаях. Chromium ищет точные совпадения, одну замену или перестановку соседних символов, но сложные варианты вроде аррӏө[.]com могут отличаться сильнее. Короткие имена также получают меньше защиты. Например, четырёхбуквенный oƙta[.]com способен пройти без предупреждения, если пользователь раньше не посещал настоящий сайт.
Проблема выходит за пределы адресной строки. В тестах Gmail отображал все 20 международных доменов отправителей в Unicode, тогда как Outlook Web показывал их в Punycode. Авторы отдельно уточнили, что не проверяли спам-фильтры, репутацию отправителей и сканирование ссылок. Ранее Punycode-домены уже встречались в фишинговых цепочках через доверенную инфраструктуру.
Массовую эксплуатацию нового обхода авторы не подтверждают. Все 20 доменов принадлежат Have I Been Squatted и ведут на безопасные демонстрационные страницы. Анализ зоны .com нашёл 161 894 пары IDN и обычных ASCII-доменов, которые визуально похожи друг на друга, но такая похожесть сама по себе не означает фишинг или злонамеренную регистрацию.
Для защиты авторы советуют заранее регистрировать опасные варианты корпоративных доменов, отслеживать новые адреса с префиксом xn-- и включать защиту от подмены отправителя в почтовых шлюзах. Отдельной мерой служат passkey и FIDO2: ключ, привязанный к настоящему домену, не сработает на его визуальном двойнике, даже если адресная строка выглядит убедительно.
