Un homograph attack sfrutta caratteri uguali o molto simili all’occhio per far apparire un dominio come un altro. Le somiglianze possono esistere sia tra caratteri ASCII sia tra alfabeti Unicode diversi; per gli IDN la forma DNS può essere rappresentata come Punycode con prefisso xn--.
Indice dei contenuti
In sintesi
Un homograph attack sfrutta caratteri uguali o molto simili all’occhio per far apparire un dominio come un altro. Le somiglianze possono esistere sia tra caratteri ASCII sia tra alfabeti Unicode diversi; per gli IDN la forma DNS può essere rappresentata come Punycode con prefisso xn--.
Come funziona un homograph attack
L’utente legge un nome in base al glifo mostrato dal font, mentre DNS e applicazioni elaborano code point e stringhe precise. Caratteri di alfabeti diversi possono avere forme quasi identiche; anche nel solo ASCII esistono coppie come lettera O e cifra 0 o lettera l e cifra 1. Un aggressore può registrare un nome visivamente vicino al dominio atteso e usarlo in phishing, pagine clone o email.
Con gli IDN, il nome Unicode leggibile viene trasformato in una rappresentazione ASCII compatibile. Questo non rende gli IDN pericolosi: sono essenziali per molte lingue. Il problema è la confondibilità e va gestito con regole di registro, controlli del browser, rilevamento delle varianti e attenzione dell’utente.
Come verificare un dominio sospetto
- Non basarti sul testo visibile nel messaggio: copia il link reale o analizza l’header senza aprire la pagina.
- Se trovi un’etichetta
xn--, decodificala con strumenti IDNA affidabili e conserva anche la forma A-label. - Confronta i caratteri con il dominio ufficiale; per analisi automatizzate usa dati di confusabilità Unicode invece del solo confronto grafico.
- Controlla registrar, data di registrazione, DNS, certificato e hosting come indizi aggiuntivi, senza considerarne uno solo come prova definitiva.
- Per email sospette verifica il dominio effettivo di From, Return-Path, DKIM e i link incorporati.
Difesa per aziende e utenti
- Registra le varianti realmente ad alto rischio quando il costo è proporzionato al valore del marchio.
- Monitora nuove registrazioni e segnalazioni di phishing che usano nomi simili.
- Usa DMARC, DKIM e SPF sul dominio legittimo per rendere più evidente l’email non autenticata, pur sapendo che non impediscono la registrazione di un dominio diverso.
- Mostra il dominio canonico in comunicazioni, login e documentazione, evitando URL abbreviati in contesti sensibili.
- Per procedure ad alto rischio, non usare il solo dominio come prova d’identità: combina autenticazione forte e verifiche fuori banda.
Errori da evitare
- Bloccare indiscriminatamente tutti gli IDN o tutti i nomi Punycode: molti sono perfettamente legittimi.
- Trattare il problema come se fosse causato dal firewall o dal WAF del sito originale.
- Assumere che un certificato TLS valido renda legittimo il dominio: il certificato prova il controllo sul nome certificato, non l’identità del marchio imitato.
- Valutare la somiglianza con un solo font: la resa grafica cambia tra browser, sistemi operativi e dispositivi.
- Dimenticare le varianti ASCII, che possono essere altrettanto efficaci dei caratteri Unicode.
Verifica finale
Una procedura di risposta dovrebbe registrare dominio sospetto in forma visuale e ASCII, URL completo, screenshot, header email, timestamp e contatti del registrar. Questo permette di inoltrare una segnalazione riproducibile e riduce il rischio di confondere un dominio legittimo con un tentativo di impersonificazione.
Guide Xlogic correlate
- Checklist sicurezza per domini aziendali
- Controllare se un dominio è in blacklist
- Typosquatting: registrare le varianti del dominio
Fonti
Domande frequenti
Punycode significa che il dominio è malevolo?
No. Punycode è una codifica usata dagli IDN; il rischio nasce dall’uso di caratteri confondibili e dal contesto del dominio.
Un certificato HTTPS elimina il rischio di homograph attack?
No. Un certificato valido autentica il controllo sul dominio indicato nel certificato, non garantisce che quel dominio appartenga al marchio che sembra imitare.
Come confronto nomi visivamente simili?
Conserva la forma A-label e U-label, confronta i caratteri reali e usa meccanismi di confusable detection invece di affidarti soltanto al font.