Hai ký tự Unicode mới có thể qua mặt kiểm tra chống giả mạo của Chromium
"Researchers identified two Unicode characters, Cyrillic ө and Latin ƙ, that can bypass Chromium browser anti-spoofing checks and make typosquatted domains display as lookalike Unicode URLs instead of Punycode. The issue affects Chromium-based browsers such as Chrome and Edge, enabling phishing-style impersonation of popular sites; the article describes the bypasses and browser safety logic, but does not report a specific CVE or vendor patch in the provided text."
Nguy cơ giả mạo website và phishing tăng lên trên Chrome/Edge; người dùng có thể bị dẫn tới tên miền trông hợp lệ nhưng thực chất là mạo danh.
Có thể ảnh hưởng đến uy tín thương hiệu, làm tăng rủi ro chiếm đoạt tài khoản và phát sinh chi phí xử lý sự cố, truyền thông và hỗ trợ người dùng.
Các nhà nghiên cứu cho biết hai ký tự Unicode hiếm là ө (Cyrillic) và ƙ (Latin) có thể vượt qua các cơ chế chống giả mạo của Chromium. Khi bị khai thác, tên miền typosquatting có thể hiển thị như URL Unicode hợp lệ thay vì Punycode, khiến người dùng khó nhận ra đây là địa chỉ mạo danh.
Vấn đề ảnh hưởng đến các trình duyệt dựa trên Chromium như Chrome và Edge. Theo mô tả, cơ chế SafeToDisplayAsUnicode và kiểm tra GetSimilarTopDomain() đều có thể bị обход qua trong một số trường hợp, cho phép các tên miền giả mạo trông rất giống các website phổ biến. Nhóm nghiên cứu đã đăng ký 20 tên miền thử nghiệm và công bố các trang demo để giải thích cách vượt qua các lớp bảo vệ này.
Tác động chính là nguy cơ phishing, đánh cắp thông tin đăng nhập và lừa người dùng truy cập nhầm trang. Do bài viết không nêu CVE hay bản vá cụ thể, các tổ chức nên theo dõi cập nhật từ nhà cung cấp trình duyệt, kiểm tra chính sách cảnh báo URL và tăng cường đào tạo người dùng về nhận diện tên miền bất thường. Với môi trường doanh nghiệp, nên ưu tiên lọc DNS, giám sát tên miền tương tự thương hiệu và bật các biện pháp bảo vệ chống lừa đảo ở tầng trình duyệt và email.