‘Homoglief’ is het nieuwe buzzword in phishing
Cryptocurrency en fintech geliefd doelwit
Het gebruik van visueel gelijkende karakters, zogenaamde homoglyphs, om cryptomunten te bemachtigen, is een opvallende nieuwe toepassing van domeinnamen door cybercriminelen. Dat blijkt uit het meest recente cybersecurityrapport van het Slowaakse beveiligingsbedrijf ESET. Het rapport bevestigt uitkomsten van onze eigen onderzoeken, waaruit blijkt dat malafide domeinnamen wereldwijd nog volop gebruikt worden voor phishing, spam en andere vormen van cybercriminaliteit.
Wat is een homoglief?
Wie ooit een password moest overtikken van papier herkent het fenomeen zeker: is dat nu een 0 (nul) of een O (hoofdletter ‘o’)? Als 2 karakters met een verschillende betekenis visueel op elkaar lijken, dan is er sprake van een homoglief. Homogliefen zijn bijzonder populair bij cybercriminelen. Je kunt er namelijk domeinnamen mee samenstellen, die visueel sterk overeenkomen met domeinnamen van bonafide organisaties, maar zoveel afwijkende karakters kennen dat ze met semantische detectie niet meteen opgespoord kunnen worden.
Voorbeeld
Veel beveiligingstoepassingen sporen frauduleuze domeinnamen op met behulp van een zogenaamd Levenshtein-algoritme, waarbij het gaat om het aantal karakters dat de naam afwijkt van de te imiteren merk- of bedrijfsnaam. Een voorbeeld: ‘coolbeu’ wijkt 1 karakter af van ‘coolblue’, ‘C00IbIeu’ wijkt echter 4 karakters af (de ‘l’ is hier een hoofdletter ‘i’ en de letter ‘o’ is vervangen door het cijfer ‘0’). Voor een computer gaat het dan om een totaal andere naam. De meeste detectiesystemen, waaronder SIDN Merkbewaking, kunnen deze homogliefen herkennen en voorkomen zo dat een malafide naam onopgemerkt blijft.
Hoe groot is het probleem in .nl?
In Nederland zijn de mogelijkheden om met homogliefen andere domeinnamen te imiteren relatief beperkt. Belangrijkste reden hiervoor is dat het Nederlandse alfabet vrijwel alleen standaard ASCII bevat en onder .nl geen domeinnamen met vreemde karakters (zogenaamde. IDN’s) geregistreerd kunnen worden. In andere landen zijn hier meer mogelijkheden voor (denk bijvoorbeeld aan de Scandinavische Ø). In de VS worden domeinnamen vaak geïmiteerd met behulp van karakters uit het Spaanse alfabet.
Cryptocurrency en fintech geliefd doelwit
Opvallend is dat homogliefen het afgelopen halfjaar vooral gebruikt zijn om relatief jonge startups in de financiële sector te imiteren. Meer specifiek: fintech-bedrijven waarbij cryptocurrency een rol speelde. blokchain.com en binance.com hadden zelfs de dubieuze eer in de top-3 van meest geïmiteerde domeinnamen te staan. De 3e domeinnaam was apple.com. Het aantal dubieuze registraties in deze branche verzesvoudigde wereldwijd ten opzichte van het tweede halfjaar van 2019. Overigens lijkt deze trend alweer over zijn hoogtepunt heen: de sterke koersdaling van Bitcoin en andere cryptocurrency’s in mei heeft de aantrekkelijkheid van deze doelwitten voorlopig sterk verminderd.
Mediamerken ook geliefd
Het ESET-rapport bevestigt daarnaast eerdere berichten dat mediamerken een steeds geliefder doelwit zijn. Cybercriminelen gebruiken deze merken voor een indirecte aanval: een domeinnaam die lijkt op een prominente krant bevat een artikel (nepnieuws) over een bedrijf met een link naar een malafide pagina die op de échte bedrijfspagina lijkt. ESET noemt de New York Times als concreet voorbeeld. Op deze manier profiteren zij van de naamsbekendheid van media en kunnen ze klanten van het in het nepartikel genoemde bedrijf phishen, zonder de naam van het bedrijf zelf te hoeven misbruiken in een domeinnaam.
