atak homograficzny

Atak homograficzny to technika oszustwa wykorzystująca znaki wizualnie podobne do liter alfabetu łacińskiego w celu spreparowania fałszywej domeny.

Atak homograficzny – czym jest i na czym polega

Atak homograficzny to metoda podszywania się pod prawdziwą stronę internetową, usługę albo nadawcę wiadomości przy użyciu znaków, które wyglądają bardzo podobnie do znanych liter. W zapisie adresu internetowego może pojawić się symbol pochodzący z innego alfabetu, choć na pierwszy rzut oka wygląda on jak zwykła litera łacińska. Przykładowo znak przypominający małe „a”, „e”, „o” albo „c” może zostać wykorzystany do utworzenia domeny niemal nieodróżnialnej od oryginału. Różnica jest zapisana w kodzie znaku, a niekoniecznie widoczna dla osoby przeglądającej pasek adresu.

Celem takiego działania jest skłonienie do odwiedzenia fałszywej witryny i wykonania czynności, której oczekuje oszust. Może to być wpisanie hasła, podanie danych płatniczych, pobranie pliku, zaakceptowanie powiadomienia albo przekazanie kodu autoryzacyjnego. Sama strona często jest przygotowana tak, aby przypominać znany serwis pod względem kolorów, układu, logotypu i sposobu komunikacji. Dzięki temu czujność może zostać obniżona jeszcze przed sprawdzeniem adresu.

Określenie „homograficzny” odnosi się do podobieństwa zapisu. W praktyce nie chodzi wyłącznie o pojedynczą domenę. Podobny zabieg może dotyczyć nazwy nadawcy wiadomości, identyfikatora profilu, adresu w komunikatorze, nazwy pliku lub fragmentu tekstu wyświetlanego w aplikacji. W każdym przypadku wykorzystywana jest różnica między tym, co widzi człowiek, a tym, jak znak jest interpretowany przez system.

Atak homograficzny a podobne techniki podszywania się

Atak homograficzny warto odróżnić od kilku innych metod oszustwa internetowego. W klasycznym phishingu fałszywy adres może zawierać dodatkowe słowo, literówkę, nietypową końcówkę albo długi ciąg znaków. Taki adres bywa podejrzany po dokładnym odczytaniu, choć przy szybkim kliknięciu również może wyglądać wiarygodnie. W ataku homograficznym trudność polega na tym, że wizualna postać domeny może być niemal taka sama jak w przypadku adresu prawdziwego.

Inną techniką jest typosquatting, czyli rejestrowanie adresów opartych na typowych błędach wpisywanych podczas przepisywania nazwy. W takim przypadku różnica często polega na zamianie kolejności znaków, pominięciu litery albo użyciu sąsiedniego klawisza. Atak homograficzny korzysta natomiast z podobieństwa znaków pochodzących z różnych zestawów pisma. Dla użytkownika oba rodzaje zagrożeń mogą wyglądać podobnie, lecz sposoby ich wykrywania są częściowo odmienne.

Znaczenie ma również sposób wyświetlania adresu przez przeglądarkę. Niektóre znaki mogą być prezentowane w postaci czytelnej dla człowieka, a inne mogą zostać zapisane technicznym odpowiednikiem rozpoczynającym się od oznaczenia „xn--”. Taki zapis nie dowodzi sam w sobie oszustwa, ponieważ legalne strony mogą korzystać z wielu alfabetów. Powinien jednak skłonić do dodatkowego sprawdzenia adresu, zwłaszcza gdy strona prosi o dane logowania lub wykonanie pilnej operacji.

Nie należy zakładać, że obecność kłódki przy adresie rozwiązuje problem. Szyfrowane połączenie chroni transmisję między przeglądarką a daną witryną, ale nie potwierdza, że sama witryna należy do właściwej organizacji. Fałszywa strona również może korzystać z poprawnie skonfigurowanego szyfrowania. Istotne jest więc połączenie kilku sygnałów: właściwego adresu, oczekiwanego kontekstu wiadomości, zgodności domeny oraz sposobu żądania danych.

Atak homograficzny i typowe problemy użytkownika

Najczęstszy problem polega na ocenie adresu wyłącznie wzrokowo. Jeżeli domena jest krótka, a użyty znak przypomina literę znaną z alfabetu łacińskiego, różnica może zostać przeoczona nawet podczas uważnego czytania. Sytuacja staje się trudniejsza na ekranie telefonu, gdzie pasek adresu jest skrócony, część adresu bywa ukryta, a interfejs wyświetla tylko początkowy fragment witryny.

Ryzyko zwiększa się wtedy, gdy wiadomość wywołuje pośpiech. Informacja o blokadzie konta, oczekującej płatności, konieczności potwierdzenia danych albo nieudanej dostawie może skłonić do natychmiastowego kliknięcia. W takich warunkach uwaga koncentruje się na treści komunikatu, a nie na dokładnym sprawdzeniu adresu. Oszustwo może dodatkowo wykorzystywać znajomy podpis, podobny styl językowy i elementy graficzne kojarzone z prawdziwą usługą.

Skutkiem wejścia na spreparowaną stronę nie musi być od razu widoczna infekcja. Czasem dochodzi jedynie do przechwycenia danych wpisanych w formularzu. W innych przypadkach proponowany jest plik, rozszerzenie przeglądarki lub aplikacja, która może zmienić ustawienia systemu, wyświetlać niepożądane komunikaty albo przekazywać informacje osobom trzecim. Zdarza się też, że fałszywa strona przekierowuje później do prawdziwej witryny, aby utrudnić zauważenie incydentu.

Problem może pojawić się także po samym otwarciu wiadomości, gdy zawarte w niej elementy próbują nakłonić do dalszego działania. Dlatego nie powinno się traktować braku oczywistych objawów jako dowodu bezpieczeństwa. Jeżeli dane zostały wpisane na stronie o niepewnym adresie, warto przyjąć, że mogły zostać ujawnione, i odpowiednio zabezpieczyć konto.

Jak rozpoznać atak homograficzny i ograniczyć ryzyko

Najpewniejszą metodą jest otwieranie znanych usług z wcześniej zapisanej zakładki albo przez ręcznie wpisany, sprawdzony adres. Nie powinno się korzystać z linku z wiadomości, jeśli prowadzi do logowania, płatności lub zmiany danych. Przed wpisaniem informacji należy rozwinąć pasek adresu i sprawdzić całą domenę, a nie tylko początek tekstu widoczny w skróconym widoku.

Pomocne jest porównanie adresu z wcześniejszą korespondencją, dokumentacją lub oficjalnym kanałem kontaktu. Należy zwrócić uwagę na nietypową końcówkę domeny, dodatkowe człony, znaki diakrytyczne i elementy wyglądające podobnie do liter. Przy wątpliwościach można zamknąć stronę i samodzielnie przejść do usługi z użyciem zapisanej zakładki. Nie należy potwierdzać logowania na urządzeniu, którego nazwa lub lokalizacja budzi zastrzeżenia.

Warto włączyć wieloskładnikowe uwierzytelnianie, używać różnych haseł oraz korzystać z menedżera haseł. Menedżer zazwyczaj rozpoznaje prawidłową domenę i nie uzupełnia danych na stronie o innym adresie, nawet jeśli jej wygląd jest przekonujący. Przydatne pozostają także aktualizacje przeglądarki, systemu i programów ochronnych, ponieważ mogą poprawiać rozpoznawanie znanych stron podejrzanych.

Jeżeli hasło zostało wpisane na podejrzanej stronie, należy możliwie szybko zmienić je na właściwej witrynie, a następnie sprawdzić aktywne sesje, urządzenia i reguły przekierowania poczty. Jeżeli podano dane płatnicze, wskazany jest kontakt z bankiem za pośrednictwem oficjalnego numeru. Podejrzaną wiadomość można zgłosić administratorowi usługi, dostawcy poczty albo odpowiedniemu zespołowi zajmującemu się bezpieczeństwem. Nie powinno się odpowiadać nadawcy ani korzystać z numerów i linków podanych w tej samej wiadomości.

Kiedy zgłosić atak homograficzny do serwisu komputerowego

Pomoc serwisowa może być potrzebna, gdy po otwarciu podejrzanej strony pojawiają się nowe okna, przekierowania, nieznane rozszerzenia, zmieniona wyszukiwarka, nietypowe komunikaty albo spowolnienie działania urządzenia. Zgłoszenie jest zasadne także wtedy, gdy nie ma wyraźnych objawów, lecz pobrano plik, uruchomiono nieznany instalator lub wpisano dane na stronie o niepewnym adresie. W takiej sytuacji warto zachować wiadomość, adres strony, nazwę pobranego pliku i przybliżony moment zdarzenia, ponieważ ułatwi to ocenę problemu.

Przed przekazaniem urządzenia nie należy usuwać wszystkich śladów bez konsultacji, jeżeli mogą być potrzebne do ustalenia przebiegu zdarzenia. Jednocześnie należy odłączyć komputer od sieci, jeśli występuje podejrzenie aktywnego niepożądanego programu, oraz z innego, zaufanego urządzenia zabezpieczyć najważniejsze konta. Nie powinno się wpisywać kolejnych haseł na komputerze, który zachowuje się nietypowo.

W Warszawie ocenę skutków takiego zdarzenia może przeprowadzić Warszawskie Pogotowie Komputerowe 24/7. W ramach sprawdzenia można ustalić, czy problem dotyczy ustawień przeglądarki, nieznanych dodatków, pobranych programów, kont użytkownika lub innych elementów wymagających uporządkowania. Po analizie można otrzymać wskazówki dotyczące zmiany haseł, odtworzenia bezpiecznych ustawień i dalszego korzystania z poczty oraz stron internetowych.

Najważniejsze pozostaje rozdzielenie dwóch kwestii: rozpoznania fałszywego adresu i zabezpieczenia urządzenia po kontakcie z podejrzaną stroną. Nawet gdy strona wygląda identycznie jak znana witryna, należy sprawdzić jej rzeczywisty adres, nie przekazywać danych pod presją i reagować na nietypowe zachowanie przeglądarki. Takie postępowanie ogranicza prawdopodobieństwo utraty konta oraz ułatwia szybkie wyjaśnienie incydentu.