新たに確認されたUnicodeのエッジケースにより、見た目が酷似したドメインがChromiumのアドレスバー保護機能を回避できることが明らかになりました。
2026年10月3日に公開された調査で、Ian Muscat氏とLeanne Briffa氏は、キリル文字や鉤(かぎ)付きラテン文字を使うことで、Punycodeに変換されずUnicodeのまま表示される、説得力の高いブランドなりすましドメインを作成できることを示しました。
両氏は、apple.comに似せたаррӏө.comやokta.comに似せたoƙta.comなど、概念実証用のドメイン20件を登録しました。Chrome 154では、このうちキリル文字のAppleに似せたドメインが、有効な証明書とともにUnicodeのまま表示されました。
ただし、今回の発見はドメインの表示処理と類似ドメイン検出に関するものです。実証された登録ドメインを悪用した攻撃キャンペーンが確認されたわけではありません。
Chromiumは、国際化ドメイン名(IDN)を2段階の表示処理で評価します。第1段階のSafeToDisplayAsUnicode()は、個々のラベルに禁止文字や安全でないスクリプトの組み合わせ、ホールスクリプトによるなりすましが含まれていないかを調べます。
第2段階のGetSimilarTopDomain()は、正規化したドメインの「スケルトン」を、組み込み済みの人気ドメイン8,462件のリストと照合します。一致した場合は、なりすましドメインをエンコードされたxn–形式の表記に切り替えます。
キリル文字を用いた回避手法は、2017年のаррӏе.comのデモンストレーションを受けて導入された「全文字一致」ルールの隙を突いています。Chromiumは、ラベルのすべての文字がラテン文字と紛らわしい文字のリストに含まれる場合に、そのキリル文字ラベルを危険と判定します。
ところが、Unicode U+04E9のөは使用が許可されている一方で、このリストには含まれていません。そのため、末尾のеをөに置き換えるだけで、аррӏө.comはホールスクリプトのルールによる拒否を免れます。
第2段階でもこの綴りは検出されません。スケルトン生成の過程でөが「o」と結合用バーに変換され、appleのスケルトンと完全には一致しなくなるためです。
同様に、oƙta.comの鉤付きラテン文字ƙも、ダイアクリティカルマークの除去が済んだ後に「k」と結合文字へ変換されるため、不一致のまま残ります。
別のナビゲーション時のチェックが、これを補えるとは限りません。Chromiumの近似一致比較が許容する編集は1回ですが、Appleに似せたドメインとの差異は2か所あります。
また、5文字未満の対象には近似一致チェックが行われないため、4文字のokta.comはこの保護の対象外になります。その結果、別個の評判システムを除けば、検証した条件下では両ドメインとも類似ドメインの警告を回避しました。
Webメールにも、表示上の境界という別の問題があります。国際化された送信元ドメイン20件を用いたテストでは、Gmailはすべての送信者をUnicodeで表示した一方、Outlook WebはすべてのドメインをASCIIのAラベルで表示しました。
Haveibeensquattedによると、テストではプロバイダーのAPIを通じて、管理下のメールボックスにメッセージをインポートしたとのことです。この結果は、スパムフィルタリングや送信者の評判、リンクスキャンの有効性を測定したものではありません。
.comゾーンの分析では、133,953件の異なるASCIIドメインに対応する161,894組の類似ペアが特定されました。これらの数値は視覚的に似ている可能性を示すものであり、悪意ある登録が確認されたわけではありません。
防御目的の登録や正当な多言語サイト、無関係な事業者のドメインでも、一致するペアが生じる可能性があります。そのため、あるドメインを攻撃者が管理するインフラと分類したり、テイクダウンに着手したりする前に、文脈を踏まえた調査が欠かせません。
研究者らは、xn--で始まるドメインの登録の監視、メールゲートウェイでのなりすまし対策の有効化、残存する類似ドメインの選択的な登録を推奨しています。パスキーは、正規ドメインに紐づく認証情報が類似ドメインでは認証されないため、有効な防御策となります。
脅威調査を効率化し手作業を減らすため、16,000以上のSOCチームがANY.RUNを活用しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/unicode-trick-create-fake-domains/
