Zwei Buchstaben, die Sie nie getippt haben, lassen ein falsches apple.com in Chrome echt aussehen

Sehen Sie sich das an: аррлө.com. In Chromes Adressleiste liest es sich als apple.com. Es ist nicht apple.com, und Chrome wird Sie nicht warnen.

Ian Muscat und Leanne Briffa vom Domain-Überwachungsdienst Have I Been Squatted veröffentlichten den Fund am 10. Oktober. Browser schützen seit Jahren vor solchen Tricks: Mischt man Alphabete in einer Webadresse, zeigt Chromium die hässliche, maschinenlesbare Fassung statt der hübschen. Der Haken ist, dass die Prüfung nur greift, wenn jedes einzelne Zeichen im Namen auf einer fest einprogrammierten Liste bekannter Hochstapler steht. Zwei Buchstaben stehen nicht darauf. Einer ist ө, ein kyrillischer Buchstabe aus dem Kasachischen, Mongolischen und Tatarischen. Der andere ist ƙ, ein lateinisches k mit Haken, das im Hausa verwendet wird. Setzen Sie einen der beiden in einen Namen, und die gesamte Warnung schweigt. Die Forscher registrierten auf diese Weise 20 funktionierende Testdomains, die Apple, Okta, Nike, SpaceX, Pinterest, Kickstarter und andere nachahmen.

Betroffen sind Chrome und Edge, die sich dieselbe Engine teilen, und an Rohmaterial mangelt es nicht: Eine Durchsicht der .com-Registry ergab fast 162.000 Paare internationaler Domainnamen, die wie gewöhnliche aussehen. Bislang wurde niemand dabei erwischt, diese beiden Buchstaben in freier Wildbahn zu missbrauchen, was die gute Nachricht ist und der einzige Grund, warum Sie jetzt davon hören.

Was dadurch stirbt, ist der Rat, den alle wiederholen: Lesen Sie die Adresse genau, bevor Sie ein Passwort eintippen. Hier hilft Lesen nicht weiter. Erreichen Sie Ihre Bank, Ihre E-Mail und Ihre Einkaufskonten über ein Lesezeichen, das Sie selbst angelegt haben, niemals über einen Link in einer Nachricht. Falls eine überzeugende Fälschung Sie bereits zu einer Installation überredet hat, stellt der Reparaturassistent "Browser gekapert" von Tendvane Suchmaschine, Startseite und Erweiterungen so wieder her, wie Sie sie hatten.