homograficzny atak (IDN spoofing)

Homograficzny atak (IDN spoofing) to alternatywne, powtórzone określenie tej samej techniki podszywania się z wykorzystaniem umiędzynarodowionych nazw domen.

Homograficzny atak jako fałszywy adres internetowy

Homograficzny atak, określany także jako IDN spoofing, polega na utworzeniu adresu internetowego wyglądającego niemal identycznie jak adres prawdziwej strony. W tym celu wykorzystuje się znaki pochodzące z różnych alfabetów, które wizualnie przypominają litery używane w nazwie oryginalnej domeny. Przykładowo znak z cyrylicy może przypominać łacińskie „a”, „e” albo „o”, a cała domena po szybkim spojrzeniu może sprawiać wrażenie poprawnej.

Technika ta wiąże się z umiędzynarodowionymi nazwami domen, czyli adresami obsługującymi znaki spoza podstawowego alfabetu łacińskiego. Sama możliwość używania takich znaków jest przydatna, ponieważ pozwala tworzyć domeny zgodne z pisownią wielu języków. Zagrożenie pojawia się wtedy, gdy podobny zapis zostaje użyty do naśladowania banku, sklepu internetowego, operatora poczty, serwisu płatniczego albo strony logowania do konkretnej usługi.

Po otwarciu spreparowanej witryny użytkownik może zobaczyć kopię znanego formularza i zostać poproszony o podanie hasła, kodu jednorazowego, numeru karty lub innych danych. Zdarza się również, że fałszywa strona kieruje do pobrania programu, dokumentu albo dodatku do przeglądarki. Ryzyko nie wynika więc wyłącznie z samego adresu, lecz z całego łańcucha zdarzeń prowadzącego do ujawnienia informacji lub uruchomienia niebezpiecznego pliku.

Mechanizm działania i sposoby rozpoznawania domeny

Przeglądarka oraz system nazw domen muszą przekształcić czytelny dla człowieka adres na techniczny zapis wykorzystywany w komunikacji internetowej. W przypadku domen zawierających znaki specjalne może być stosowany zapis Punycode, rozpoczynający się często od oznaczenia „xn--”. Nie jest to sam w sobie dowód oszustwa, ponieważ taki format może występować również przy prawidłowo zarejestrowanych domenach. W podejrzanym kontekście powinien jednak skłonić do dokładniejszego sprawdzenia adresu i certyfikatu witryny.

Istotne jest odróżnienie podobieństwa wizualnego od rzeczywistej tożsamości domeny. Dwie nazwy mogą wyglądać podobnie na ekranie, ale prowadzić do całkowicie różnych właścicieli i serwerów. Należy zwracać uwagę na każdy znak przed końcówką domeny, położenie kropek, dodatkowe myślniki oraz nietypowe rozszerzenie. Sam symbol kłódki w przeglądarce nie potwierdza wiarygodności firmy, ponieważ szyfrowanie połączenia może działać również na stronie stworzonej przez oszusta.

Pomocne bywa ręczne wpisanie znanego adresu, użycie wcześniej zapisanej zakładki albo przejście do witryny z oficjalnej aplikacji. Linki otrzymane w wiadomościach, reklamach i komunikatorach powinny być traktowane ostrożnie, szczególnie gdy towarzyszy im presja czasu, informacja o blokadzie konta lub prośba o natychmiastowe potwierdzenie danych. Warto również sprawdzić, czy po kliknięciu odnośnika adres nie zmienił się na inną domenę podczas przekierowania.

Typowe problemy i błędy popełniane przez użytkowników

Najczęstszym błędem jest ocenianie strony wyłącznie na podstawie wyglądu. Osoby przygotowujące homograficzne kopie mogą odtworzyć logo, układ menu, kolory, komunikaty i formularze logowania. W efekcie fałszywa witryna może wyglądać wiarygodnie nawet wtedy, gdy adres różni się od prawidłowego tylko jednym znakiem. Problem pogłębia używanie małych ekranów, na których pełny adres jest częściowo ukryty.

Do ryzykownych zachowań należy także otwieranie załączników pobranych z podejrzanej strony, zatwierdzanie powiadomień przeglądarki bez sprawdzenia ich źródła oraz instalowanie rozszerzeń obiecujących szybkie zabezpieczenie konta. Nie powinno się wpisywać haseł na stronie otwartej z nieoczekiwanego odnośnika, nawet jeśli witryna korzysta z szyfrowanego połączenia. Hasło używane w kilku miejscach może po wycieku umożliwić dostęp do kolejnych usług, dlatego wskazane jest stosowanie odrębnych haseł i uwierzytelniania wieloskładnikowego.

Jeżeli dane zostały już wpisane na podejrzanej stronie, należy możliwie szybko zmienić hasło na prawdziwej witrynie, zakończyć aktywne sesje i sprawdzić ustawienia odzyskiwania konta. Przy ujawnieniu danych płatniczych potrzebny może być kontakt z bankiem oraz zastrzeżenie odpowiednich instrumentów. W przypadku pobrania programu warto odłączyć urządzenie od sieci, wykonać sprawdzenie zabezpieczeń i nie usuwać pochopnie informacji, które mogą pomóc ustalić przebieg zdarzenia.

W jakich sytuacjach warto skorzystać z pomocy serwisu - homograficzny atak (IDN spoofing)

Pomoc serwisowa może być zasadna, gdy po wejściu na podejrzaną domenę pojawiły się nietypowe reklamy, przekierowania, blokady ekranu, nowe rozszerzenia lub komunikaty o zmianie ustawień. Konsultacja przydaje się również wtedy, gdy komputer zaczyna działać inaczej po pobraniu pliku z fałszywej strony albo gdy nie ma pewności, czy przeglądarka, system i programy zabezpieczające funkcjonują prawidłowo.

W Warszawie takie przypadki można przekazać do „Warszawskiego Pogotowia Komputerowego 24/7”, gdzie zakres problemu może zostać ustalony na podstawie objawów, historii zdarzeń i stanu urządzenia. Przy zgłoszeniu warto opisać adres, z którego skorzystano, moment wpisania danych, pobrane pliki oraz wszelkie późniejsze zmiany w zachowaniu komputera. Nie należy ponownie otwierać podejrzanej strony wyłącznie po to, aby ją sprawdzić, ani kasować wszystkich śladów przed konsultacją, jeśli mogłoby to utrudnić ocenę sytuacji.

Przed przekazaniem sprzętu dobrze jest, o ile to możliwe, zmienić hasła z innego, zaufanego urządzenia, włączyć dodatkowe zabezpieczenia kont i skontaktować się z instytucją, której dane mogły zostać wykorzystane. Takie działania ograniczają skutki ataku, natomiast analiza komputera pomaga ustalić, czy problem dotyczył tylko wyłudzenia danych, czy również uruchomienia niepożądanego oprogramowania.