پژوهشگران امنیتی هشدار داده‌اند که استفاده از برخی کاراکترهای خاص در الفباهای سیرلیک (Cyrillic) و لاتین می‌تواند مرورگرهای مبتنی بر Chromium (مانند Chrome و Edge) را فریب دهد تا آدرس‌های وب جعلی و مشابه (Lookalike URLs) را به جای نمایش در قالب Punycode، به صورت متنی و معتبر (Unicode) نمایش دهند.
مکانیزم فریب مرورگر و دور زدن لایه‌های دفاعی
مرورگرهای مدرن برای مقابله با حملات Typosquatting و فیشینگ، از دو لایه دفاعی اصلی استفاده می‌کنند که هر دو در برابر برخی کاراکترهای خاص ناکارآمد هستند:
- تابع SafeToDisplayAsUnicode: این تابع هفت بررسی متوالی را انجام می‌دهد تا متدهای رایج جعل آدرس را شناسایی کند. این سیستم بر اساس لیستی از کاراکترهای سیرلیک طراحی شده است که معمولاً جایگزین حروف لاتین می‌شوند. اما اگر حتی یک کاراکتر در رشته متنی وجود داشته باشد که در این لیست نباشد (که به آن‌ها کاراکترهای Breaker گفته می‌شود)، کل بررسی دور زده شده و دامنه به صورت Unicode نمایش داده می‌شود. کاراکترهایی مانند ө (در زبان‌های قزاقی و تاتار) در حال حاضر به عنوان Breaker عمل می‌کنند.
- تابع GetSimilarTopDomain: این لایه، دامنه را به یک «اسکلت» (Skeleton) تبدیل کرده و آن را با لیستی از ۸۵۰۰ وب‌سایت محبوب مقایسه می‌کند تا شباهت‌های خطرناک را شناسایی کند. اما کاراکترهایی مانند ƙ (K با قلاب در زبان هوسا)، هنگام تبدیل به اسکلت، به گونه‌ای پردازش می‌شوند که با دامنه‌های واقعی مطابقت ندارند و در نتیجه سیستم هشدار را فعال نمی‌کنند.
محدودیت‌های سیستم Safety Tips
مرورگر Chrome از سیستمی به نام Safety Tips برای نمایش هشدار به کاربران استفاده می‌کند. با این حال، این لایه امنیتی تنها زمانی فعال می‌شود که دامنه جعلی، تطابق دقیق یا تغییر حداکثر یک کاراکتر (One-edit match) با دامنه اصلی داشته باشد. در مواردی که تغییرات بیشتر باشد (مانند استفاده از چندین کاراکتر سیرلیک)، این هشدارها نمایش داده نمی‌شوند. همچنین، دامنه‌هایی با کمتر از ۵ کاراکتر ممکن است به دلیل قوانین سخت‌گیرانه تطبیق، از این بررسی رهایی یابند.
وضعیت در کلاینت‌های ایمیل
تحقیقات نشان می‌دهد که کلاینت‌های ایمیل وضعیت بدتری دارند. برای مثال، Gmail تمامی دامنه‌های جعلی را به صورت Unicode نمایش می‌دهد که این امر احتمال موفقیت حملات فیشینگ را به شدت افزایش می‌دهد. در مقابل، Outlook Web تمامی دامنه‌ها را به صورت Punycode نمایش می‌دهد که اگرچه امن است، اما تجربه کاربری را مختل کرده و نشان‌دهنده عدم وجود یک مکانیزم بررسی هوشمند است.
مقیاس تهدید
با بررسی لیست دامنه‌های .com در ICANN، پژوهشگران متوجه شدند که حدود ۷۳۳,۰۰۰ دامنه بین‌المللی (IDN) وجود دارد. تحلیل‌ها نشان می‌دهد که حدود ۱۶۲,۰۰۰ جفت دامنه وجود دارد که در آن‌ها یک IDN شباهت بصری شدیدی به یک دامنه ASCII معمولی دارد. اگرچه همه این دامنه‌ها برای مقاصد مخرب ثبت نشده‌اند، اما این حجم از شباهت، سطح حمله (Attack Surface) گسترده‌ای را برای عامل تهدید فراهم می‌کند تا حملات فیشینگ هدفمند را اجرا نمایند.
