Domínios homógrafos ainda enganam os utilizadores — higiene que realmente os apanha

Um domínio que parece exatamente o URL de uma marca conhecida ainda pode ser falso. Os nomes de domínio internacionalizados permitem carateres de alfabetos cirílico, grego e outras escritas que são apresentados de forma idêntica às letras latinas — troque um número suficiente deles no nome de uma marca, registe o resultado e um navegador pode apresentar algo que parece o endereço real enquanto aponta para um local totalmente diferente. Este é o ataque homógrafo IDN e continua a ser uma das técnicas de phishing mais difíceis de detetar à vista pelos utilizadores.

Porque "ler o URL com atenção" não é suficiente

O conselho de inspecionar um URL antes de iniciar sessão pressupõe que um utilizador consegue distinguir visualmente entre carateres que foram especificamente escolhidos para parecerem iguais. Muitas vezes, não consegue. É por isso que as defesas mais duradouras não dependem de todo da perceção humana.

Defesas que não dependem de os utilizadores detetarem a troca

• Os gestores de palavras-passe só preenchem automaticamente as credenciais na cadeia de domínio exata em que foram guardadas, e não naquilo que um domínio visualmente aparenta — só isto bloqueia a maioria do roubo de credenciais a partir de uma página homógrafa.
• A filtragem ao nível do DNS pode bloquear domínios parecidos conhecidos antes de o navegador do utilizador os carregar.
• A monitorização da Transparência de Certificados assinala novos certificados emitidos para domínios semelhantes a marcas, muitas vezes antes de uma página de phishing ficar ativa.
• Os navegadores podem ser configurados para apresentar domínios internacionalizados suspeitos na sua forma Punycode em bruto, em vez do script enganador.
• Registar as variantes homoglifas mais óbvias do próprio domínio de uma empresa elimina alguns dos alvos mais fáceis para um atacante.

O que os helpdesks devem realmente dizer aos utilizadores

Adicione aos favoritos as páginas de início de sessão sensíveis após uma primeira visita verificada, em vez de escrever ou clicar numa ligação de cada vez. Encaminhe qualquer domínio parecido com a própria marca da organização para quem for responsável pelo reporte de abusos ou de proteção de marca. E nunca peça a um utilizador para "testar" uma página de início de sessão que outra pessoa lhe enviou — só essa instrução anula a maioria das defesas técnicas acima.

Atualmente, nenhum navegador bloqueia de forma fiável todos os domínios homógrafos por si só, pelo que a conclusão prática é a defesa em profundidade: controlos técnicos que não dependem da perceção, além de uma sensibilização suficiente dos utilizadores para encaminhar o que conseguir passar.

Fontes: Wikipedia, zvelo.