O que é um ataque de homógrafo IDN?

Como funciona um ataque de homógrafo IDN?

Funciona porque o Unicode contém letras de alfabetos diferentes que se parecem, e o sistema de domínios permite que qualquer pessoa registre nomes que as usem. Um nome de domínio internacionalizado (IDN) é um nome com caracteres não ASCII. O DNS só lida com ASCII, então cada rótulo desse tipo é convertido em punycode, uma sequência que começa com xn-- seguida de uma forma codificada. Uma pessoa vê a versão Unicode se o navegador decidir exibi-la; um software que armazena ou registra o nome vê a forma xn--.

O atacante registra um nome em que uma ou mais letras latinas são substituídas por uma semelhante: um а cirílico no lugar de um a latino, por exemplo. O registro e o registrador o aceitam porque é um nome válido. O visitante lê examplecoin.com e assina uma transação em uma cópia do seu site.

O que significa o prefixo xn--?

O prefixo xn-- marca um rótulo que contém caracteres não ASCII em forma codificada. Nos exemplos acima, xn--exmplecoin-0qi.com é a forma armazenada de exаmplecoin.com: as letras ASCII do rótulo vêm primeiro e o caractere cirílico codificado vem depois do hífen. Um nome que começa com xn-- não é malicioso em si; muitos sites legítimos em outros idiomas o usam. O que importa é se a sequência decodificada imita uma marca. Você pode decodificar qualquer nome suspeito em um script como o acima, ou colá-lo em uma ferramenta de consulta, antes de clicar.

Como o Chrome decide mostrar Unicode ou punycode?

O Chrome decide para cada rótulo separadamente e mostra a forma xn-- sempre que uma verificação falha. As verificações documentadas incluem a mistura de alfabetos que não deveriam se misturar (latino com cirílico ou grego), confundíveis de alfabetos mistos dos dados de segurança do Unicode e rótulos formados apenas por letras parecidas de um alfabeto quando a extensão não está nesse alfabeto. O Chrome também rejeita rótulos formados apenas por dígitos ou semelhantes de dígitos, e rótulos que coincidem com um domínio de topo depois de removidos os acentos. Se todas as verificações passam, o rótulo é mostrado em Unicode. A política não depende da configuração de idioma do usuário.

O аррӏе.com todo em cirílico na tabela é o caso de alfabeto inteiro: ele não mistura nada, então uma regra de alfabetos mistos não o detecta, e o Chrome depende de sua verificação separada de alfabeto inteiro. Outros navegadores têm políticas próprias, que a Wardmint não leu, então esta página documenta apenas o Chrome. O risco relacionado de confusão de endereços em geral está em que tipos de domínios parecidos os phishers registram.

Como protejo minha marca contra domínios homógrafos?

Registre as variantes ASCII que puder, monitore o resto e denuncie o que encontrar. Você não pode registrar de antemão um nome homógrafo em todos os alfabetos, porque as combinações são muitas. O que você pode fazer é procurá-los: o dnstwist gera nomes com homóglifos a partir de um conjunto pesquisado de caracteres Unicode e verifica quais existem, e os logs de certificados mostram nomes que carregam a sua marca em forma decodificada. O guia para encontrar domínios parecidos traz os comandos, e como monitorar o Certificate Transparency cobre os logs.

As páginas da Wardmint descrevem registros de nomes ASCII e não afirmam registrar IDN. Para os homóglifos ASCII (1 no lugar de l, rn no lugar de m), a cobertura é a mesma de qualquer erro de digitação: veja como proteger sua marca contra typosquatting.

O que os números da Wardmint dizem sobre isso?

A Wardmint verificou a política do Chromium em 12 de novembro de 2026 e agrupou suas regras em 5 famílias de verificações que decidem entre Unicode e punycode: conversão e validade, mistura de alfabetos, numeração e caracteres invisíveis, confundíveis, e dígitos, padrões e domínios de topo. O agrupamento é da própria Wardmint; as regras são do Chromium.

Um domínio homógrafo é um nome de domínio cujas letras diferem de um nome conhecido, mas parecem idênticas para um leitor. Um ataque de homógrafo IDN é o uso de um nome desse tipo para se passar por uma marca. Punycode é a codificação ASCII, começando com xn--, que o DNS armazena para nomes com letras não ASCII.