Deux lettres que vous n'avez jamais tapées suffisent à faire passer un faux apple.com pour vrai dans Chrome

Regardez ceci : аррлө.com. Dans la barre d'adresse de Chrome, cela se lit apple.com. Ce n'est pas apple.com, et Chrome ne vous avertira pas.

Ian Muscat et Leanne Briffa, du service de surveillance de domaines Have I Been Squatted, ont publié ces travaux le 10 octobre. Les navigateurs se protègent de ce genre de ruse depuis des années : mélangez les alphabets dans une adresse web et Chromium affiche la version brute, illisible, plutôt que la jolie. Le hic, c'est que le contrôle ne se déclenche que si chaque caractère du nom figure sur une liste codée en dur d'imposteurs connus. Deux lettres n'y sont pas. La première est ө, une lettre cyrillique utilisée en kazakh, mongol et tatar. La seconde est ƙ, un k latin à crochet, utilisé en haoussa. Glissez l'une des deux dans un nom et l'alerte entière se tait. Les chercheurs ont ainsi enregistré 20 domaines de démonstration fonctionnels, imitant Apple, Okta, Nike, SpaceX, Pinterest, Kickstarter et d'autres.

Cela concerne Chrome et Edge, qui partagent le même moteur, et la matière première ne manque pas : un balayage du registre .com a révélé près de 162 000 paires de noms de domaine internationaux ressemblant à des noms ordinaires. Rien n'a encore été surpris en train d'abuser de ces deux lettres dans la nature, ce qui est la bonne nouvelle, et la seule raison pour laquelle vous en entendez parler maintenant.

Ce que cela détruit, c'est le conseil que tout le monde répète : lisez bien l'adresse avant de taper un mot de passe. Ici, la lecture ne vous sauvera pas. Atteignez votre banque, votre messagerie et vos comptes d'achat depuis un favori que vous avez créé vous-même, jamais depuis un lien reçu dans un message. Si un faux convaincant vous a déjà fait installer quelque chose, l'assistant de réparation "navigateur détourné" de Tendvane remet votre moteur de recherche, votre page d'accueil et vos extensions comme vous les aviez.