In breve. Ci sono due controlli su cui contiamo ogni giorno per non cadere nel phishing: guardare bene l’indirizzo e controllare che ci sia il lucchetto. C’è un tipo di attacco, detto omografico, che li batte entrambi. Funziona registrando un dominio che a occhio è identico a quello vero, usando caratteri di altri alfabeti che sembrano lettere normali: la “о” cirillica al posto della “o” latina, per esempio. Tu leggi poste.it e ti fidi; per il computer è un dominio del tutto diverso, e il sito clone può avere pure il suo bel lucchetto verde. Il punto che ci sta a cuore dirti: la formazione resta il primo filtro, ma qui da sola non basta, perché non puoi chiedere a una persona di distinguere a occhio due lettere identiche. Serve un controllo tecnico, impostato una volta e valido per tutti. Te lo spieghiamo, con le due contromisure concrete.
Il trucco: caratteri gemelli di un altro alfabeto
Gli indirizzi dei siti oggi possono contenere caratteri non latini: sono i domini internazionalizzati (IDN), nati per permettere indirizzi in cirillico, greco, arabo e così via. Utile, ma con un effetto collaterale sfruttabile: molti caratteri di altri alfabeti sono visivamente identici alle nostre lettere latine.
Prendi un dominio che conosci, poste.it. La “о” cirillica (codice Unicode U+043E) è praticamente indistinguibile dalla “o” latina (U+006F): un attaccante registra pоste.it con la “o” cirillica, e per il tuo occhio l’indirizzo è quello vero. Lo stesso vale per la “а” cirillica (U+0430) al posto della “a”, per la “е” e altre lettere ancora. Per il sistema, che ragiona sui codici dei caratteri e non sulla forma, è un dominio completamente diverso, di proprietà dell’attaccante.
Lo scenario tipico è quello di sempre, solo più difficile da smascherare: arriva un’e-mail con un link, il link porta a un sito clone identico all’originale, il certificato SSL è valido (quindi vedi il lucchetto verde), inserisci le credenziali e gliele hai regalate.
Perché il lucchetto non ti salva
Vale la pena chiarire un equivoco diffuso. Il lucchetto verde dice una cosa sola: che la connessione tra te e quel sito è cifrata. Non dice che quel sito sia l’azienda giusta. Un dominio-sosia registrato dall’attaccante può ottenere il suo certificato e mostrare il lucchetto come qualsiasi altro sito.
E questo è il motivo per cui, su questo attacco specifico, la sola formazione non è sufficiente. Insegnare a “controllare bene l’indirizzo” funziona contro il phishing grezzo, quello con i domini storpiati e i refusi. Non funziona quando i caratteri sono, letteralmente, identici a vederli. Non è un limite di attenzione delle persone: è un limite fisico dell’occhio. La difesa quindi non va scaricata sul singolo utente: va messa a livello di sistema.
Due controlli tecnici che funzionano
Ecco le contromisure concrete, quelle che si impostano una volta e valgono per tutta l’azienda.
1. Rendering Punycode forzato sui browser aziendali. Il Punycode è la rappresentazione in caratteri ASCII normali di un dominio che contiene caratteri Unicode: i domini “internazionalizzati” vengono mostrati con un prefisso xn--. In pratica, il falso dominio con la “о” cirillica smette di apparire come poste.it e si rivela come una stringa xn--...: l’inganno viene a galla. Su Firefox si attiva impostando network.IDN_show_punycode = true. Chrome e Safari hanno già protezioni native, e con le policy di gruppo (GPO) si possono rendere più stringenti. È una configurazione da gestire centralmente, non da lasciare al singolo.
2. Un controllo automatico dei caratteri, sul browser. I filtri di rete e i controlli DNS bloccano molti domini malevoli, ma non tutti: uno appena registrato può passare. Per questo conviene un secondo livello proprio sul browser, dove l’utente clicca davvero. È un’estensione o un controllo installato e gestito centralmente sui browser aziendali (come al punto 1) che analizza in tempo reale da quale alfabeto arrivano i caratteri dell’indirizzo e blocca un mix anomalo, per esempio una lettera cirillica dentro un dominio latino. La differenza con il punto 1 è che qui non si conta sul fatto che l’utente noti la stringa strana: il blocco scatta da solo.
Un’aggiunta, per chi in azienda si occupa di indagare i casi sospetti: davanti a un indirizzo dubbio non basta “guardarlo”, ma lo si può scomporre carattere per carattere con strumenti gratuiti come CyberChef (funzione “To Punycode”), che rivela da quale alfabeto arriva ognuno. Così si individua il carattere malevolo e si blocca quel dominio su firewall o EDR.
Dove si incastra nel resto della sicurezza
L’attacco omografico non vive da solo: tocca più pezzi della postura di sicurezza aziendale.
- Consapevolezza: resta utile, ma su questo attacco va detto chiaro che è il primo filtro, non l’ultimo.
- Filtraggio DNS: bloccare i domini-sosia prima ancora che qualcuno ci clicchi.
- Rilevamento e risposta (firewall/EDR): bloccare il dominio malevolo una volta individuato.
- Il tuo brand: vale anche al contrario. Conviene monitorare la registrazione di domini-sosia del proprio dominio aziendale (typosquatting e omografi), perché qualcuno potrebbe usarli per ingannare i tuoi clienti.
In sintesi
Il phishing omografico è un buon promemoria di un principio generale: la consapevolezza delle persone è preziosa, ma non può essere l’unica linea di difesa. Ci sono attacchi, e questo è uno, in cui l’occhio umano parte perdente per costruzione, e la protezione va spostata sugli strumenti, impostata bene una volta e valida per tutti. Non è complicato: è questione di deciderlo e configurarlo.
Questo articolo è il “quando riconoscere a occhio non basta”. Il primo filtro, come riconoscere un’e-mail pericolosa, lo trovi nel nostro pezzo Come proteggersi dalle e-mail pericolose.
