大手ドメインのタイポスクワッティング、キリル文字の悪用で今も成立

Tom's Hardware が、主要なドメインを使ったタイポスクワッティング攻撃が今も成立しうると報じた。

出典 URL に含まれる副題によると、キリル文字を使った「コーナーケース（想定の隙間を突く特殊な例）」が、最良とされるチェックも回避するという。

現時点で入手できているのは見出しと URL のみで、どのドメインで検証したのか、回避されたチェックがブラウザの仕組みなのかドメイン登録時の審査なのか、具体的な文字の組み合わせは確認できていない。

タイポスクワッティングは、正規のドメインと綴りが似たドメインを取得し、利用者を偽サイトへ誘導する手口だ。国際化ドメイン名では、ラテン文字の「a」や「o」とほぼ同じ見た目のキリル文字を使えるため、見た目では区別できないドメインを作れる。ブラウザやドメイン登録事業者は、異なる文字体系の混在を検出して警告したり登録を制限したりしているが、記事はその対策にもまだ抜け道があることを示したとみられる。

フィッシングやマルウェア配布、ソフトウェアのパッケージを狙った攻撃の入り口になりうるため、URL の見た目だけで正規かどうかを判断しない運用が引き続き求められる。