Attacchi omografi e typosquatting spiegati

Gran parte del phishing riuscito si riduce a una cosa: una vittima che si fida di un dominio che non è ciò che sembra. Gli attacchi omografi e il typosquatting sono le due tecniche principali con cui gli aggressori trasformano quella fiducia in un'arma.

Typosquatting

Il typosquatting registra domini distanti un solo scivolone di tastiera da uno legittimo, poi conta sull'errore umano e sulla memoria muscolare.

Varianti comuni di example.com:

• Omissione: exaple.com, exmple.com
• Trasposizione: examlpe.com, exapmle.com
• Ripetizione / tasto adiacente: exampple.com, examole.com
• TLD sbagliato: example.co, example.cm, example.org
• Combosquatting: aggiungere parole plausibili — example-login.com, example-support.com, secure-example.com

Il combosquatting è particolarmente efficace perché la stringa del marchio vero è presente, così a un'occhiata rapida sembra legittimo.

Attacchi omografi (omoglifi)

Gli attacchi omografi sfruttano caratteri che sembrano identici ma sono codificati diversamente. Unicode contiene molti glifi che si rendono quasi come le lettere ASCII.

• Cirillico: а е о р с х sembrano identici ai latini a e o p c x.
• Greco: ο (omicron) contro il latino o.
• Sosia latini: la cifra 0 contro la lettera O, 1 contro l contro I, rn che si rende come m.

Un nome di dominio internazionalizzato (IDN) che usa la а cirillica in аpple.com è un dominio del tutto diverso da apple.com, eppure visivamente indistinguibile in molti font.

Punycode: la difesa nascosta in piena vista

I browser codificano gli IDN in ASCII con il Punycode (prefisso xn--). La versione con a cirillica di apple.com diventa:

xn--pple-43d.com

I browser moderni applicano regole di mescolanza di alfabeti e spesso mostrano il Punycode grezzo invece dell'Unicode «bello» quando un'etichetta mescola alfabeti — un avviso visivo chiave. Ma i client di posta, l'output del terminale e alcuni strumenti non lo fanno, ed è lì che questi attacchi vanno a segno.

Dove compaiono oltre la barra del browser

• Domini del mittente e-mail — paypa1.com in un'intestazione From.
• Testo del link contro href — il testo visibile dice bank.com, l'ancora punta altrove.
• Reindirizzamenti OAuth e SSO — un host simile della schermata di consenso.
• Registri di pacchetti — pacchetti npm/PyPI con typosquatting (crossenv contro cross-env) per attacchi alla catena di fornitura.
• Codici QR — la destinazione non è mai visibile finché non si scansiona.

Rilevamento e difesa

Per il vostro marchio (proattivo):

• Registrate le permutazioni a più alto rischio e i TLD comuni, impostandoli per reindirizzare al vostro sito reale.
• Monitorate i log di Certificate Transparency per certificati appena emessi su domini simili.
• Usate monitoraggio dei domini o feed di minacce DNS che segnalano registrazioni simili al vostro marchio.

Per la protezione in ingresso:

• Applicate DMARC (p=reject), SPF e DKIM così gli invii falsificati del vostro dominio vengono scartati.
• Distribuite un rilevamento che calcola la distanza di edit e la mescolanza di alfabeti rispetto ai marchi noti.
• Bloccate i domini appena registrati (NRD) sul proxy per una finestra di raffreddamento.

Un controllo manuale rapido — normalizzate un'etichetta sospetta in Punycode:

# Python: rivela la vera forma ASCII di un'etichetta di host
python3 -c "print('раypal'.encode('idna'))"
# b'xn--pypal-4ve1c'  ->  non 'paypal'

Per gli utenti:

• Passate sopra per rivelare l'href reale; su mobile, tenete premuto.
• Digitate le URL note o usate i segnalibri invece di cliccare i link nei messaggi.
• Preferite MFA resistente al phishing — anche se un utente raggiunge un clone di login omografo, FIDO2/WebAuthn lega la credenziale all'origine reale e rifiuterà di autenticarsi al dominio impostore.

L'ultimo punto conta di più: le credenziali legate all'origine trasformano un sosia convincente in un vicolo cieco, perché è il browser — non l'essere umano — a controllare il dominio.

Come aiuta GottaPhish

I domini omografi e combosquattati fanno sembrare corretto un link malevolo, così nessuna lettura attenta li coglie in modo affidabile. GottaPhish e il suo team di esperti affrontano proprio questo rischio: simulazioni costruite attorno a quelle stesse tecniche, più cruscotti che evidenziano chi clicca domini simili e chi li segnala. I nostri esperti seguono l'avvio, disegnano scenari con domini mittente simili e realistici, aiutano a interpretare i risultati e supportano l'adozione di MFA resistente al phishing, così il legame all'origine — non la sola vigilanza umana — diventa la vostra rete di sicurezza contro le pagine di login imitate.