Los dominios homógrafos siguen engañando: la higiene que de verdad los detecta

Un dominio que se ve exactamente igual que la URL de una marca conocida puede seguir siendo falso. Los nombres de dominio internacionalizados permiten caracteres cirílicos, griegos y de otros alfabetos que se representan de forma idéntica a las letras latinas: si se intercambian suficientes en el nombre de una marca, se registra el resultado y el navegador puede mostrar algo que se parece a la dirección real mientras apunta a un lugar completamente diferente. Este es el ataque de homógrafos con IDN y sigue siendo una de las técnicas de phishing más difíciles de detectar a simple vista para los usuarios.

Por qué «leer la URL con atención» no es suficiente

El consejo de inspeccionar una URL antes de iniciar sesión presupone que el usuario puede distinguir visualmente caracteres que se eligieron precisamente para parecer iguales. A menudo no puede. Por eso las defensas más sólidas no dependen en absoluto de la percepción humana.

Defensas que no dependen de que los usuarios detecten la sustitución

• Los gestores de contraseñas solo rellenan automáticamente las credenciales en la cadena de dominio exacta en la que se guardaron, no en aquello a lo que un dominio se parezca visualmente; esto por sí solo bloquea la mayoría de los robos de credenciales desde una página homógrafa.
• El filtrado a nivel de DNS puede bloquear dominios parecidos conocidos antes de que el navegador del usuario llegue a cargarlos.
• La monitorización de Certificate Transparency marca los certificados nuevos emitidos para dominios que imitan marcas, a menudo antes de que una página de phishing entre en funcionamiento.
• Los navegadores pueden configurarse para mostrar los dominios internacionalizados sospechosos en su forma Punycode sin procesar en lugar de la grafía engañosa.
• Registrar las variantes homoglifas más evidentes del dominio propio de una empresa elimina algunos de los objetivos más fáciles para un atacante.

Qué deberían decir realmente los equipos de soporte a los usuarios

Marque como favoritas las páginas de inicio de sesión confidenciales después de una primera visita verificada, en lugar de escribir o hacer clic en un enlace cada vez. Escale cualquier imitación de la marca de la propia organización a quien gestione los informes de abuso o de protección de marca. Y no pida nunca a un usuario que «pruebe» una página de inicio de sesión que otra persona le haya enviado: esa sola instrucción anula la mayoría de las defensas técnicas anteriores.

Hoy en día, ningún navegador bloquea por sí solo de forma fiable todos los dominios homógrafos, por lo que la conclusión práctica es la defensa en profundidad: controles técnicos que no dependen de la percepción y la suficiente concienciación del usuario para escalar lo que consiga pasar.

Fuentes: Wikipedia, zvelo.