Deux lettres peu courantes suffisent à tromper les défenses de Chrome, Edge et des autres navigateurs construits sur Chromium. Des chercheurs de Have I Been Squatted ont montré qu’il est encore possible d’enregistrer des adresses qui ressemblent trait pour trait à celles de sites célèbres, sans que le navigateur ne signale quoi que ce soit.
Deux caractères qui passent entre les mailles
Les caractères en cause sont le « ө », employé dans plusieurs langues cyrilliques comme le kazakh ou le mongol, et le « ƙ », un k latin avec crochet utilisé en haoussa. Visuellement proches des lettres e, o ou k, ils ont permis aux chercheurs d’enregistrer vingt noms de domaine imitant des marques connues. Affichés en Unicode, ils paraissent authentiques ; en Punycode, la forme technique de l’adresse, la supercherie saute aux yeux.
Chromium s’appuie sur deux protections principales. La première vérifie si une adresse entièrement composée de caractères cyrilliques ressemble à du latin, mais elle ne se déclenche que si chaque caractère figure sur une liste prédéfinie : une seule lettre absente, dite « briseuse », et le contrôle est contourné. La seconde compare l’adresse à une liste d’environ 8 500 sites populaires après avoir retiré les accents. Or le « ө » barré et le « ƙ » ne sont pas de simples lettres accentuées : leur marque subsiste dans la version simplifiée et l’imitation n’est pas reconnue.
Les avertissements « Safety Tips » ne comblent pas toujours le vide. Ils ne s’activent que si l’adresse est très proche de l’originale (une seule modification ou deux lettres inversées) et pas pour les noms de moins de cinq caractères, comme Okta. Ils s’appuient aussi sur l’historique de navigation, qui peut être trop mince chez certains internautes.
La messagerie, maillon encore plus fragile
Ces protections ne concernent que les navigateurs. Gmail a affiché les vingt domaines de test en Unicode, exactement comme le souhaiterait un pirate, tandis qu’Outlook Web les a tous montrés en Punycode, y compris les adresses légitimes, ce qui montre qu’aucun des deux ne fait le tri correctement.
Sur environ 167 millions de domaines en .com, quelque 733 000 utilisent des caractères non ASCII, et près de 162 000 d’entre eux ressemblent à une adresse ordinaire. Cela ne signifie pas qu’autant de sites sont frauduleux : certains protègent simplement une marque ou servent un public multilingue. Reste que, pour les entreprises, surveiller les noms de domaine proches du leur devient un réflexe utile, et pour les internautes, passer par ses favoris plutôt que par un lien reçu par e-mail reste la précaution la plus simple.
