A megtévesztően hasonló karakterekkel végrehajtott webcímes átverések továbbra is komoly veszélyt jelentenek az internetezőkre. A böngészők védelmi rendszerei rengeteget fejlődtek az elmúlt években, ám a cirill betűs karaktereket használó speciális trükkök még mindig képesek kijátszani a legfejlettebb szűrőket.
Láthatatlan elírások a webcímekben
Amikor a nemzetközi karakterkészletek (Unicode) használatát engedélyezték a webcímekben, a fejlesztők tudták, hogy ez biztonsági kockázatot hordoz. A módszer alapja az úgynevezett homografikus támadás: a bűnözők olyan karaktereket választanak más ábécékből, amelyek megszólalásig hasonlítanak a latin betűkre. Egy cirill kisbetűs „а” vagy „о” a legtöbb képernyőn pontosan úgy néz ki, mint a latin megfelelője, ám a számítógép számára teljesen eltérő kódolású karakternak számít.
Ha valaki egy ilyen hamisított hivatkozásra kattint, egy látszólag hibátlan, ám valójában adathalászatra vagy kártékony kódok terjesztésére létrehozott oldalon köthet ki. Mivel a böngésző címsorában a név tökéletesnek tűnik, az átlagos felhasználónak szinte esélye sincs észrevenni a csalást.
A védelmi rendszerek korlátai
A modern böngészők – mint a Chromium alapú megoldások – szigorú szabályrendszert alkalmaznak a félrevezető domainnevek kiszűrésére. Ha egy webcímben keverednek a latin és a nem latin karakterek, a böngésző automatikusan átvált a Punycode néven ismert technikai formátumra, így az átverés azonnal szembetűnővé válik.
A támadók azonban megtalálták az úgynevezett szélsőséges eseteket. Ha egy teljes szót vagy domainnevet kizárólag olyan cirill betűkből építenek fel, amelyek mindegyikének van latin megfelelője, az ellenőrző algoritmusok egy része átengedi a címet. A fejlesztők folyamatosan bővítik a tiltólistákat, de bizonyos karakterkombinációk még így is átcsúsznak a hálón.
A jelszómentes jövő lehet a megoldás
Mivel a pusztán vizuális ellenőrzés már nem nyújt maradéktalan védelmet, a biztonsági szakértők szerint a hangsúlyt a technológiai védelemre kell helyezni. A jelszómentes bejelentkezési formák, mint a Passkey technológia, immunisak az ilyen típusú adathalászatra. Mivel a hitelesítési kulcs kizárólag a valódi, eredeti domainhez van hozzárendelve, a felhasználó még akkor sem tudja átadni az adatait a támadóknak, ha teljes mértékben bedőlt a hamisított webcímnek.