Duas letras que nunca escreveu bastam para um apple.com falso parecer verdadeiro no Chrome

Olhe para isto: аррлө.com. Na barra de endereços do Chrome lê-se apple.com. Não é apple.com, e o Chrome não o vai avisar.

Ian Muscat e Leanne Briffa, do serviço de vigilância de domínios Have I Been Squatted, publicaram a descoberta a 10 de outubro. Os navegadores defendem-se deste tipo de truque há anos: misture alfabetos num endereço web e o Chromium mostra a versão feia, legível por máquinas, em vez da bonita. O senão é que a verificação só dispara quando todos os caracteres do nome constam de uma lista de impostores conhecidos escrita no código. Duas letras não constam. Uma é ө, uma letra cirílica usada em cazaque, mongol e tártaro. A outra é ƙ, um k latino com gancho, usado em hauçá. Meta qualquer uma delas num nome e o aviso inteiro cala-se. Foi assim que os investigadores registaram 20 domínios de demonstração funcionais, a imitar a Apple, a Okta, a Nike, a SpaceX, o Pinterest, o Kickstarter e outros.

Afeta o Chrome e o Edge, que partilham o mesmo motor, e matéria-prima não falta: uma varredura ao registo .com encontrou perto de 162 000 pares de nomes de domínio internacionais parecidos com nomes correntes. Até agora ninguém foi apanhado a abusar destas duas letras em ataques reais, o que é a boa notícia e a única razão pela qual está a saber disto agora.

O que deixa de servir é o conselho que toda a gente repete: leia bem o endereço antes de escrever uma palavra-passe. Aqui, ler não o salva. Chegue ao banco, ao correio eletrónico e às contas de compras a partir de um marcador criado por si, nunca a partir de uma ligação numa mensagem. Se uma imitação convincente já o levou a instalar alguma coisa, o assistente de reparação "navegador sequestrado" do Tendvane repõe o motor de busca, a página inicial e as extensões como as tinha.