信頼できるドメインになりすますよう設計された文字が含まれていても、ウェブサイトのアドレスが正規のものに見えることがある。
Have I Been Squattedのセキュリティー研究者Ian Muscat氏とLeanne Briffa氏は、Chromiumによる国際化ドメイン名の処理に2つの弱点があることを特定した。問題となるのは、キリル文字のөとラテン文字のƙで、これらは特定のそっくりなドメインが、偽のアドレスを検出するためのブラウザーのチェックを逃れるのに利用される可能性がある。
同氏らの分析では、The Registerによると、混同を招く可能性のある.comドメインの組み合わせが約162,000組見つかった。これらがフィッシングサイトだと確認されたわけではないが、攻撃者が見た目の似た文字を悪用して信頼できるサービスになりすまし、認証情報を盗む可能性を示す結果となった。
2つの文字がChromiumのドメインチェックを回避する仕組み
ホモグラフ攻撃は、見慣れた文字に似た、異なる文字体系の文字を悪用する。攻撃者はこれらを使って、正規のウェブサイトとほぼ同じに見えるドメインを登録できる。この手法はホモグラフ攻撃と呼ばれる。
Have I Been Squattedの研究者らは、ブラウザーが偽のドメイン名を検出する仕組みの弱点を突く、一般的ではないウェブアドレスの文字を2つ特定した。問題の文字はキリル文字のөとラテン文字のƙだ。
研究者らの調査結果は、これらの文字によってそっくりなドメインを作成できることを示している。
最初の弱点にはSafeToDisplayAsUnicode()が関係する。研究者らによると、өが紛らわしい文字のリストから抜け落ちていたため、誤解を招く表示を防ぐためのチェックを特定の偽ドメインが通過できていた。
2つ目の弱点はGetSimilarTopDomains()に影響する。この関数は、なりすましの可能性を特定するため、スケルトンと呼ばれるドメインの正規化された文字表現を人気ウェブサイトの名前と比較する。
研究者らによると、ƙ（フック付きのkと読む）は比較処理中にこの検出を逃れ、ƙの文字を含むそっくりなドメインを通常のkとして通用させることができる。
研究者らは、Apple、SpaceX、Okta、Nikeに似せたドメインを使ってこの手法を実証した。これらのアドレスには、見慣れたラテン文字に似ているものの、基礎となるUnicode値が異なる文字が含まれている。
- aррӏө[.]com
- sрасөх[.]com
- oƙta[.]com
- niƙe[.]com
Chromiumの既存のチェックがこれらのドメインを見逃す可能性がある理由
多くのユーザーは、ブラウザーが不審なウェブサイトを見つけてくれると考えている。特に、ホモグラフ攻撃によって正規サイトに似せて作られたものがそうだ。こうした安全対策が意図どおりに機能しなければ、実際には危険に足を踏み入れているのに、ウェブサイトは安全だと思い込む可能性がある。
研究者らは、テストしたChromium環境でこの弱点が確認されたことを示した。そこにはChrome 154も含まれる。これは調査当時のGoogle Chromeの最新バージョンだった。この事例は、ソフトウェアアップデートの限界を浮き彫りにしている。アップデートによって既知の脆弱性に対処し、既存の保護機能を改善することはできるが、新たに発見された回避手法は、修正されるまで機能し続ける可能性がある。
つまり、ブラウザーに依存している個人は、攻撃者が説得力のあるUIとUXにホモグラフドメインを組み合わせた場合、フィッシングの被害に遭う可能性がある。
企業にとっても同様の問題が生じるが、この場合、従業員が業務アプリケーションの説得力ある偽サイトに企業の認証情報を入力すると、はるかに大きな問題につながりかねない。
安全を保つ方法
今回の調査結果は、ウェブサイトを信頼できるか判断する際、アドレスの見た目だけに頼るべきではない理由を改めて示している。
機密性の高いウェブサイトは、保存したブックマークや信頼できるアプリから開くことで、偽リンクに触れるリスクを減らせる。パスワードマネージャーも役立つ。通常、見た目の類似性ではなく、保存済みの認証情報を特定のドメインと照合するためだ。
- 新たななりすまし手法すべてに対する保護を保証できるわけではないが、ブラウザーを最新の状態に保つことは、依然として重要な防御策だ。
- メール、テキストメッセージ、ソーシャルメディアへの投稿に含まれる、予期しないログインリンクはクリックしないでください。今回のケースでは特に重要だ。研究者らのデモでは、GmailとOutlookも、そっくりなウェブサイトに対してこのチェックを適切に適用できなかった。
- 実際のURLを自分で入力するのは不便ですが。
- ウェブサイトのアドレスやUIが不自然に見える、予期せずサインインを求められる、または見慣れない場所にリダイレクトされた場合は、いったん止まり、アドレスを再確認するか、そのような操作が公式ドキュメントで案内されているかを確認してください。
- 重要なアカウントでは多要素認証を有効にする。可能であればパスキーを利用すると、フィッシングに対するより強固な保護が得られる。
企業は自社ブランドになりすましたドメインも監視し、実行可能な場合はリスクの高いバリエーションのドメインを登録することを検討すべきだ。セキュリティー意識向上のトレーニングは、従業員が不審なログイン要求を見分けるのに役立つ。ただし、巧妙なホモグラフ攻撃に対しては、目視だけでは信頼できる防御にならない。
研究者らの調査結果は、確立されたブラウザーの保護機能でさえ、特定の偽アドレスを見逃す可能性があることを示している。影響を受けるチェックが修正されるまで、ユーザーと組織は、見慣れたドメインをウェブサイトの正当性を示す一つの手がかりにすぎないものとして扱うべきだ。
その他のニュース：セキュリティー研究者らがP7 DarkSwordを発見、Apple Keychainの認証情報や暗号資産ウォレットのデータなど、機密情報を盗むことが可能な新たなiPhone向けスパイウェア亜種。