Un ataque homógrafo IDN usa nombres de dominio internacionalizados con caracteres de otros alfabetos idénticos a letras latinas para crear dominios falsos visualmente indistinguibles de los auténticos.
Cómo funcionan los ataques homógrafos IDN
Los nombres de dominio internacionalizados (IDN) permiten dominios en cirílico, griego, chino y otras escrituras. En el DNS se guardan en una forma ASCII llamada Punycode, que empieza por xn--. Sin embargo, muchos caracteres Unicode se ven igual que los latinos: las letras cirílicas «а», «е», «о», «р» y «с» son prácticamente idénticas a sus equivalentes latinas. Así, un atacante puede registrar un dominio como «аpple.com» escrito total o parcialmente en cirílico, que un navegador o cliente de correo puede mostrar exactamente igual que el original.
El problema se describió en un artículo de 2002 de Evgeniy Gabrilovich y Alex Gontmakher. En 2017 el investigador Xudong Zheng demostró una copia totalmente cirílica de apple.com (xn--80ak6aa92e.com) que Chrome y Firefox mostraban como «apple.com», lo que llevó a los fabricantes de navegadores a endurecer sus reglas de visualización.
Por qué es importante
Los dominios homógrafos anulan el consejo más habitual a los usuarios: «comprueba la dirección». Se usan en enlaces de phishing, páginas de inicio de sesión falsas y spoofing de correo, e incluso pueden obtener certificados TLS válidos, de modo que aparece el candado. Trucos similares con caracteres parecidos se emplean en nombres de usuario, nombres de archivo y código fuente. Son una forma más avanzada de typosquatting.
Cómo protegerse
- Usar un gestor de contraseñas: no rellenará las credenciales en un dominio imitador.
- Mantener el navegador actualizado; los navegadores modernos muestran Punycode en los dominios sospechosos que mezclan alfabetos.
- Abrir los sitios importantes desde marcadores y no desde enlaces recibidos en mensajes.
- Las organizaciones deben vigilar el registro de variantes con homoglifos de sus marcas y bloquearlas en los filtros de correo y web.
