El 'ө' cirílico y el 'ƙ' hausa permitieron a estafadores engañar a Chrome y Edge

La barra de direcciones hace tiempo sirve como la última comprobación antes de introducir una contraseña, pero dos caracteres raros pueden volver engañoso este indicador habitual. Ian Muscat y Lianne Briffa de Have I Been Squatted mostraron que dominios gemelos superan las comprobaciones de Chromium y se muestran en Chrome y Edge casi como las direcciones reales de servicios conocidos. Al momento del estudio, el bypass persistía en Chrome 154.

Se trata de los caracteres U+04E9 (un carácter cirílico cuyo aspecto puede confundirse con una letra latina) y ƙ. El primero pertenece al alfabeto cirílico, el segundo es una k latina con gancho. Los autores registraron 20 dominios de demostración parecidos a Apple, SpaceX, Okta, Nike y otras marcas. Por ejemplo, applɵ[.]com recuerda visualmente a apple.com, y oƙta[.]com se ve casi como okta.com, aunque el DNS almacena ambas direcciones en forma distinta.

Chromium normalmente protege frente a estos ataques homográficos mediante Punycode. Si un dominio parece sospechoso, el navegador debería mostrar la notación técnica del tipo xn--80a6aa68c8d.com en lugar de los símbolos Unicode habituales. Pero U+04E9 no figura en una de las listas de caracteres parecidos, por lo que la comprobación no se activa por completo y la dirección permanece visualmente convincente.

La segunda capa de defensa también falla. Chromium construye un «esqueleto» simplificado del dominio y lo compara con casi 8 500 sitios populares. En el caso de ƙ el gancho se conserva como un signo aparte, y en el caso de U+04E9 queda una raya, por lo que la cadena resultante deja de coincidir con el original. El navegador considera la dirección suficientemente diferente y no la convierte a Punycode.

Las advertencias adicionales al acceder no salvan en todos los casos. Chromium busca coincidencias exactas, una sustitución o el intercambio de caracteres adyacentes, pero variantes complejas como applɵ[.]com pueden diferir más. Los nombres cortos también reciben menos protección. Por ejemplo, el dominio de cuatro letras oƙta[.]com puede pasar sin advertencia si el usuario no ha visitado antes el sitio auténtico.

El problema va más allá de la barra de direcciones. En las pruebas, Gmail mostró los 20 dominios internacionales de remitentes en Unicode, mientras que Outlook Web los mostró en Punycode. Los autores aclararon por separado que no comprobaron los filtros de spam, la reputación de los remitentes ni el escaneo de enlaces. Anteriormente, dominios Punycode ya se habían utilizado en cadenas de phishing a través de infraestructura de confianza.

Los autores no afirman una explotación masiva del nuevo bypass. Los 20 dominios pertenecen a Have I Been Squatted y conducen a páginas demostrativas seguras. El análisis de la zona .com encontró 161 894 pares de dominios IDN y dominios ASCII ordinarios que son visualmente parecidos entre sí, pero esa semejanza por sí sola no implica phishing ni un registro malintencionado.

Para protegerse, los autores recomiendan registrar con antelación las variantes peligrosas de dominios corporativos, vigilar nuevas direcciones con el prefijo xn-- e incluir protección contra la suplantación del remitente en las pasarelas de correo. Medidas adicionales son passkey y FIDO2: una llave vinculada al dominio auténtico no funcionará en su doble visual, incluso si la barra de direcciones parece convincente.