Поиск похожих символов

Два адреса могут выглядеть на экране одинаково и при этом состоять из разных символов. Вставьте тот, которому не доверяете. Мы разберём его, назовём каждый символ и укажем на самозванцев.

Чтобы безопасно достать ссылку из письма, щёлкните по ней правой кнопкой (или нажмите и удерживайте на телефоне) и выберите «Копировать адрес ссылки». Не открывайте её перед этим.

Попробовать пример

🔒 Your browser does all the work: what you paste here is not transmitted to us or to anyone.

Буква на экране: внутри это число

Компьютеры хранят текст в виде чисел, которые называются кодовыми точками. Латинская строчная «a»: это U+0061. Кириллическая строчная «а»: U+0430. Шрифты рисуют их одинаково, и глаз их не различит, но для системы доменных имён они отличаются так же, как «a» и «z». Unicode описывает больше 150 000 символов в более чем 160 письменностях, и многие из них очень похожи на латинские буквы или совпадают с ними в точности.

Десятилетиями доменные имена ограничивались буквами ASCII, цифрами и дефисами. Интернационализированные имена появились позже, а правило передачи по сети так и не изменилось. Имя с другими символами преобразуется в ASCII-форму, начинающуюся с xn--, которая называется punycode. münchen.de передаётся как xn--mnchen-3ya.de. Имя, написанное кириллическими буквами, похожими на «apple», передаётся как xn--80ak6aa92e.com и принадлежит тому, кто его зарегистрировал.

Такой приём называется атакой с гомоглифами. Браузеры защищаются от неё в адресной строке: если в имени смешаны письменности, они показывают форму xn--. Почтовые программы, мессенджеры, PDF-файлы и напечатанные QR-коды в основном этим не утруждаются.

Что проверяет инструмент

Сначала он находит имя хоста во всём, что вы вставили, будь то полная ссылка, адрес почты или просто домен. Затем прямо в вашем браузере выполняет такие проверки:

Письменность каждого символа
Метка, в которой латиница смешана с кириллицей, греческим, армянским, чероки, лису, грузинским или коптским письмом, отмечается красным. Так же отмечается метка, целиком написанная одной из этих письменностей, если у каждой её буквы есть латинский двойник. Латиница вместе с китайскими, японскими или корейскими знаками: это нормальное употребление, и оно не отмечается.
Таблица двойников
Около 180 символов, которые известны тем, что подделываются под латинскую букву, цифру или знак препинания, плюс полноширинные и математические формы букв. Точки, косые черты и дефисы, которые на самом деле не являются ими, отмечаются красным, потому что они сдвигают границу домена.
Невидимые символы и символы направления
Пробелы и соединители нулевой ширины, мягкие переносы и управляющие символы двунаправленного текста. U+202E, принудительное направление справа налево, заставляет invoice[U+202E]fdp.exe выглядеть как «invoiceexe.pdf».
Сходство с брендом
Имя сводится к тому, что видит торопящийся читатель: двойники заменяются латиницей, диакритика отбрасывается, 0 читается как o, 1 как l, rn как m, vv как w, cl как d. Эта упрощённая форма сравнивается примерно с 95 названиями, которые фишинг подделывает чаще всего: крупные банки Северной Америки и Европы, платёжные сервисы, службы доставки, налоговые службы, почтовые и стриминговые аккаунты.
Структура адреса
Часть с именем пользователя перед @ в ссылке (https://paypal.com@example.net/ ведёт на example.net), домен бренда, использованный как поддомен другого домена, голый IP-адрес.

Как читать результат

В сводке четыре счётчика: найденные письменности, символы-двойники, невидимые символы и бренд, на который похоже имя, если такой есть. Ниже в блоке «Что вы видите и что это на самом деле» одно и то же имя показано четырьмя способами:

  • Как показано: так, как оно выглядит, с подсвеченными подозрительными символами и регистрируемым доменом жирным.
  • Техническая форма: punycode, который на самом деле запрашивает браузер.
  • Если читать на бегу: упрощённая форма, по которой идёт сравнение с брендами.
  • Домен, который имеет значение: регистрируемый домен, та часть, которую кому-то пришлось купить. Всё слева от неё решает её владелец, так что paypal.com.secure-login.net: это страница на secure-login.net.

Дальше в таблице символов приведён каждый символ с его кодовой точкой и письменностью. Красным отмечены двойники и невидимые символы. Жёлтым: комбинируемые знаки и управляющие символы. Синий служит только для информации, на латинской букве с диакритикой или на букве другой письменности, использованной отдельно.

Сходство с брендом бывает четырёх степеней. Три из них красные: то же упрощённое написание, написание с отличием в одну букву (в две для названий из десяти букв и длиннее) и настоящий домен бренда, использованный как префикс. Название бренда, которое просто входит в более длинный домен, отмечается жёлтым, потому что реселлеры и партнёры делают так по честным причинам.

Пределы проверки символов

Инструмент оценивает, как написано имя, а не сайт за ним. В secure-account-verify.com нет ни подложных символов, ни бренда, поэтому он проходит чисто, хотя это очевидная ловушка. Для проверки репутации воспользуйтесь проверкой опасных сайтов.

Список брендов короткий намеренно. Региональный банк или маленький магазин в него не входят, поэтому подделки под них ловятся, только если в них есть иностранные буквы или невидимые символы. Очень короткие названия брендов (три или четыре буквы) сравниваются только с меткой целиком. Иначе мы отмечали бы обычные слова, в которых они случайно встречаются.

Имя может быть отмечено и при этом быть честным. Настоящие компании регистрируют домены на кириллице или по-гречески для тех, кто читает на этих языках. Проверять нужно, подходит ли письменность отправителю и языку сообщения.

Частые вопросы

Что значит домен, начинающийся с xn--?

Это ASCII-кодировка (punycode) домена, в котором есть символы вне a–z, 0–9 и дефиса. Само по себе это не подозрительно, и xn--caf-dma.com: это просто café.com. Вставьте его сюда, чтобы увидеть, в какие символы он раскодируется.

Как понять, что ссылка поддельная, до того как нажать?

Скопируйте адрес ссылки, не открывая её, вставьте сюда и прочитайте строку «Домен, который имеет значение». Если этот домен не тот, что организация использует на своём официальном сайте, не открывайте ссылку, что бы ни говорила остальная часть адреса.

Защищает ли браузер от доменов-гомоглифов?

Отчасти. Chrome, Firefox, Edge и Safari показывают в адресной строке форму xn--, когда в метке смешаны письменности или она совпадает с известным шаблоном путаницы. Это помогает только после того, как вы открыли страницу, и только в адресной строке. Текст ссылки в письме никто не проверяет.

Может ли адрес почты содержать невидимые символы?

Да. Пробел нулевой ширины или мягкий перенос можно вставить в любое место текста. Почтовые серверы обычно отвергают их в доменной части, но они встречаются в отображаемых именах, в тексте ссылок и в именах файлов, где помогают письму обойти фильтры по ключевым словам.

Почему paypa1.com отмечен, хотя в нём только обычные символы?

Потому что подвох в том, как его читают, а не в том, как он закодирован. Прочитайте цифру 1 как букву l, и имя превратится в «paypal», которое есть в списке брендов, а домен при этом PayPal не принадлежит.

Похожие проверки