eSecurity Planetは10月14日、Chromium系ブラウザのドメイン判定機能を回避するWebサイトについて注意を喚起した。Have I Been SquattedのIan Muscat氏とLeanne Briffa氏が公開した調査レポートによると、キリル文字の「ө」とラテン文字の「ƙ」を使うことで、ブラウザの保護機能を回避できる場合があるという。
2つのUnicode文字による偽装
過去、悪意のあるWebサイトの運営者は、ドメイン名に特定のUnicode文字を使用することで正規のドメイン名に見える細工を施すことがあった。有名なものとしては「аррӏе.com」があり、フォントにもよるが多くの場合「apple.com」と区別できない。この手法は「Whole-Script Confusables」と呼ばれ、Chromium系ブラウザにはこの文字列を特定してPunycode（この例では「xn--80ak6aa92e.com」）に置き換える保護が組み込まれている。
しかし今回、研究者の調査によって保護を回避できるUnicode文字が特定され、「аррӏө.com」や「niƙe.com」などをそのまま表示する問題が明らかとなった。キリル文字の「ө」はアルファベットの「e」に、ラテン文字の「ƙ」は「k」にそれぞれ似ている。
Chrome 154でも確認
この手法は、異なる文字体系に属しながら見た目が似ている文字を使って正規サイトを装う「ホモグラフ攻撃」と呼ばれる。攻撃者はログイン情報などの窃取を狙い、正規のWebアドレスだと誤認するようなドメインを登録するために利用する。
Chromium系ブラウザには、見た目が似ている文字を使ったドメイン名の偽装を検出し、疑わしい場合はPunycodeと呼ばれる英数字の形式で表示する保護機能がある。しかし研究者によると、キリル文字の「ө」とラテン文字の「ƙ」を使用すると、こうした保護機能を回避できる場合がある。例えば「apple.com」に似せた「аррӏө.com」などのドメイン名が、Punycodeに変換されずそのまま表示されるという。
今回の調査ではChromium系ブラウザを使用して実際に偽装が可能か検証が行われ、対象には調査時点でGoogle Chromeの最新バージョンだったChrome 154も含まれる。研究者の実験では、GmailとOutlookでも類似ドメインに対するチェックが適切に機能しないケースが示されている。
偽サイトへのアクセスを防ぐには
このリスクはWebブラウザ側で対策が可能だ。2つの文字をそれぞれ「e」および「k」とみなし、なりすましの可能性を比較すればよい。しかし、これらの対策が組み込まれても、新たな回避方法が見つかれば、修正が適用されるまで保護をすり抜ける余地が残る。
偽サイトが本物らしい画面や操作性を備えていれば、利用者は正規サイトだと信じてログイン情報を入力する恐れがある。企業では、従業員が業務用アプリケーションを装ったサイトに認証情報を入力すると、社内システムへの不正アクセスなど組織全体に影響する問題につながりかねない。
今回の調査は、Webアドレスの見た目だけで安全性を判断することの危険性を示している。利用者は、重要なサイトにはブックマークや公式アプリからアクセスし、メールやSMSなどで届いた不審なリンクを安易に開かないことが重要だ。パスワードマネージャーの活用や多要素認証の設定、パスキーの導入も有効な対策となる。
企業には、自社ブランドを装う偽ドメインの監視や従業員へのセキュリティ教育が求められる。ただし、高度な偽装手法では、Webアドレスの見た目だけで不正なサイトを見分けることは難しく、ブラウザの保護機能だけに頼らない対策が必要となる。
