Deux lettres peu courantes suffisent \u00e0 tromper les d\u00e9fenses de Chrome, Edge et des autres navigateurs construits sur Chromium. Des chercheurs de Have I Been Squatted ont montr\u00e9 qu’il est encore possible d’enregistrer des adresses qui ressemblent trait pour trait \u00e0 celles de sites c\u00e9l\u00e8bres, sans que le navigateur ne signale quoi que ce soit.<\/p>\n
Les caract\u00e8res en cause sont le \u00ab \u04e9 \u00bb, employ\u00e9 dans plusieurs langues cyrilliques comme le kazakh ou le mongol, et le \u00ab \u0199 \u00bb, un k latin avec crochet utilis\u00e9 en haoussa. Visuellement proches des lettres e, o ou k, ils ont permis aux chercheurs d’enregistrer vingt noms de domaine imitant des marques connues. Affich\u00e9s en Unicode, ils paraissent authentiques ; en Punycode, la forme technique de l’adresse, la supercherie saute aux yeux.<\/p>\n
Chromium s’appuie sur deux protections principales. La premi\u00e8re v\u00e9rifie si une adresse enti\u00e8rement compos\u00e9e de caract\u00e8res cyrilliques ressemble \u00e0 du latin, mais elle ne se d\u00e9clenche que si chaque caract\u00e8re figure sur une liste pr\u00e9d\u00e9finie : une seule lettre absente, dite \u00ab briseuse \u00bb, et le contr\u00f4le est contourn\u00e9. La seconde compare l’adresse \u00e0 une liste d’environ 8 500 sites populaires apr\u00e8s avoir retir\u00e9 les accents. Or le \u00ab \u04e9 \u00bb barr\u00e9 et le \u00ab \u0199 \u00bb ne sont pas de simples lettres accentu\u00e9es : leur marque subsiste dans la version simplifi\u00e9e et l’imitation n’est pas reconnue.<\/p>\n
Les avertissements \u00ab Safety Tips \u00bb ne comblent pas toujours le vide. Ils ne s’activent que si l’adresse est tr\u00e8s proche de l’originale (une seule modification ou deux lettres invers\u00e9es) et pas pour les noms de moins de cinq caract\u00e8res, comme Okta. Ils s’appuient aussi sur l’historique de navigation, qui peut \u00eatre trop mince chez certains internautes.<\/p>\n
Ces protections ne concernent que les navigateurs. Gmail a affich\u00e9 les vingt domaines de test en Unicode, exactement comme le souhaiterait un pirate, tandis qu’Outlook Web les a tous montr\u00e9s en Punycode, y compris les adresses l\u00e9gitimes, ce qui montre qu’aucun des deux ne fait le tri correctement.<\/p>\n
Sur environ 167 millions de domaines en .com, quelque 733 000 utilisent des caract\u00e8res non ASCII, et pr\u00e8s de 162 000 d’entre eux ressemblent \u00e0 une adresse ordinaire. Cela ne signifie pas qu’autant de sites sont frauduleux : certains prot\u00e8gent simplement une marque ou servent un public multilingue. Reste que, pour les entreprises, surveiller les noms de domaine proches du leur devient un r\u00e9flexe utile, et pour les internautes, passer par ses favoris plut\u00f4t que par un lien re\u00e7u par e-mail reste la pr\u00e9caution la plus simple.<\/p>\n
<\/p>\n