Ataques homógrafos e typosquatting explicados

Grande parte do phishing bem-sucedido resume-se a uma coisa: uma vítima que confia num domínio que não é o que aparenta. Os ataques homógrafos e o typosquatting são as duas principais técnicas com que os atacantes transformam essa confiança numa arma.

Typosquatting

O typosquatting regista domínios que estão a um deslize de teclado de um legítimo e depois conta com o erro humano e a memória muscular.

Variantes comuns de example.com:

• Omissão: exaple.com, exmple.com
• Transposição: examlpe.com, exapmle.com
• Repetição / adjacência: exampple.com, examole.com
• TLD errado: example.co, example.cm, example.org
• Combosquatting: juntar palavras plausíveis — example-login.com, example-support.com, secure-example.com

O combosquatting é especialmente eficaz porque a cadeia da marca real está presente, por isso uma vista de olhos rápida lê-o como legítimo.

Ataques homógrafos (homóglifos)

Os ataques homógrafos exploram caracteres que parecem idênticos mas são codificados de outra forma. O Unicode contém muitos glifos que se renderizam quase como as letras ASCII.

• Cirílico: а е о р с х parecem idênticos aos latinos a e o p c x.
• Grego: ο (ómicron) face ao latino o.
• Parecidos latinos: o dígito 0 face à letra O, 1 face a l face a I, rn que se renderiza como m.

Um nome de domínio internacionalizado (IDN) que use o а cirílico em аpple.com é um domínio completamente diferente de apple.com, mas visualmente indistinguível em muitos tipos de letra.

Punycode: a defesa escondida à vista de todos

Os navegadores codificam os IDN para ASCII com Punycode (prefixo xn--). A versão de apple.com com o a cirílico torna-se:

xn--pple-43d.com

Os navegadores modernos aplicam regras de mistura de alfabetos e mostram muitas vezes o Punycode em bruto em vez do Unicode «bonito» quando uma etiqueta mistura alfabetos — um aviso visual essencial. Mas os clientes de e-mail, a saída de terminal e algumas ferramentas não o fazem, e é aí que estes ataques acertam.

Onde aparecem para além da barra do navegador

• Domínios do remetente de e-mail — paypa1.com num cabeçalho From.
• Texto da ligação face ao href — o texto visível diz bank.com, a âncora aponta para outro lado.
• Redirecionamentos OAuth e SSO — um anfitrião parecido do ecrã de consentimento.
• Registos de pacotes — pacotes npm/PyPI com typosquatting (crossenv face a cross-env) para ataques à cadeia de fornecimento.
• Códigos QR — o destino nunca é visível até se digitalizar.

Deteção e defesa

Para a sua própria marca (proativo):

• Registe as permutações de maior risco e os TLD comuns, configurando-os para redirecionar para o seu site real.
• Vigie os registos de Certificate Transparency à procura de certificados recém-emitidos para domínios parecidos.
• Use monitorização de domínios ou feeds de ameaças DNS que sinalizam registos semelhantes à sua marca.

Para a proteção de entrada:

• Aplique DMARC (p=reject), SPF e DKIM para que os envios falsificados do seu domínio sejam descartados.
• Implemente deteção que calcula a distância de edição e a mistura de alfabetos face a marcas conhecidas.
• Bloqueie os domínios recém-registados (NRD) no proxy durante uma janela de arrefecimento.

Uma verificação manual rápida — normalize uma etiqueta suspeita para Punycode:

# Python: revelar a verdadeira forma ASCII de uma etiqueta de anfitrião
python3 -c "print('раypal'.encode('idna'))"
# b'xn--pypal-4ve1c'  ->  não 'paypal'

Para os utilizadores:

• Passe o rato para revelar o href real; no telemóvel, mantenha premido.
• Escreva os URL conhecidos ou use marcadores em vez de clicar em ligações nas mensagens.
• Prefira MFA resistente ao phishing — mesmo que um utilizador chegue a um clone de início de sessão homógrafo, o FIDO2/WebAuthn liga a credencial à origem real e recusará autenticar-se no domínio impostor.

O último ponto é o que mais importa: as credenciais ligadas à origem transformam um parecido convincente num beco sem saída, porque é o navegador — não a pessoa — que verifica o domínio.

Como ajuda a GottaPhish

Os domínios homógrafos e com combosquatting fazem uma ligação maliciosa parecer certa, por isso nenhuma leitura cuidadosa os apanha de forma fiável. A GottaPhish e a sua equipa de especialistas atacam precisamente esse risco: simulações construídas em torno dessas mesmas técnicas, além de painéis que destacam quem clica em domínios parecidos e quem os comunica. Os nossos especialistas apoiam a implementação, desenham cenários com domínios de remetente parecidos e realistas, ajudam a interpretar os resultados e apoiam a adoção de MFA resistente ao phishing, para que a ligação à origem — e não apenas a vigilância humana — seja a sua rede de segurança contra páginas de acesso imitadas.