Homograafdomeinen misleiden gebruikers nog steeds — hygiëne die ze daadwerkelijk vangt

Een domein dat er precies uitziet als de URL van een bekend merk, kan nog steeds nep zijn. Geïnternationaliseerde domeinnamen staan tekens uit het Cyrillisch, Grieks en andere schriften toe die identiek aan Latijnse letters worden weergegeven — wissel er genoeg van in een merknaam, registreer het resultaat, en een browser kan iets tonen dat op het echte adres lijkt terwijl het ergens anders naartoe wijst. Dit is de IDN-homograafaanval, en het blijft een van de phishingtechnieken die gebruikers moeilijk op zicht kunnen herkennen.

Waarom "lees de URL zorgvuldig" niet genoeg is

Het advies om een URL te inspecteren voordat je inlogt, veronderstelt dat een gebruiker visueel het verschil kan zien tussen tekens die specifiek zijn gekozen om er hetzelfde uit te zien. Dat kunnen ze vaak niet. Daarom zijn de duurzamere verdedigingen helemaal niet afhankelijk van menselijke waarneming.

Verdedigingen die niet afhankelijk zijn van gebruikers die de wissel opmerken

• Wachtwoordmanagers vullen inloggegevens alleen automatisch in op de exacte domeinreeks waarvoor ze zijn opgeslagen, niet op wat een domein visueel lijkt — dit alleen al blokkeert de meeste diefstal van inloggegevens vanaf een homograafpagina.
• Filtering op DNS-niveau kan bekende lookalike-domeinen blokkeren voordat de browser van een gebruiker ze ooit laadt.
• Certificaattransparantiemonitoring markeert nieuwe certificaten die worden uitgegeven voor domeinen die op een merk lijken, vaak voordat een phishingpagina live gaat.
• Browsers kunnen worden geconfigureerd om verdachte geïnternationaliseerde domeinen in hun ruwe Punycode-vorm weer te geven in plaats van het misleidende schrift.
• Het registreren van de meest voor de hand liggende homoglyfvarianten van het eigen domein van een bedrijf haalt enkele van de makkelijkste doelwitten voor een aanvaller weg.

Wat helpdesks gebruikers daadwerkelijk moeten vertellen

Maak bladwijzers van gevoelige inlogpagina's na een geverifieerd eerste bezoek in plaats van elke keer een link te typen of te klikken. Escaleer elke lookalike van het eigen merk van de organisatie naar wie verantwoordelijk is voor abuse- of merkbeschermingsmeldingen. En vraag een gebruiker nooit om een inlogpagina te "testen" die iemand anders hem heeft gestuurd — die instructie alleen al haalt de meeste technische verdedigingen hierboven onderuit.

Geen enkele browser blokkeert vandaag betrouwbaar elk homograafdomein op zichzelf, dus de praktische conclusie is verdediging in de diepte: technische controles die niet afhankelijk zijn van waarneming, plus voldoende bewustzijn bij gebruikers om te escaleren wat er wel doorkomt.

Bronnen: Wikipedia, zvelo.