สรุปสั้น
นาย Ian Muscat และนางสาว Leanne Briffa นักวิจัยจากบริษัท Have I Been Squatted เผยแพร่งานวิจัยเมื่อวันที่ 3 ตุลาคม 2569 ที่พบกรณีขอบ (edge case) 2 รูปแบบในการจัดการชื่อโดเมนสากล (Internationalized Domain Name: IDN) ของ Chromium ซึ่งทำให้โดเมนที่สะกดด้วยตัวอักษรซีริลลิกและละตินที่เลือกมาอย่างดี หน้าตาเหมือนโดเมนแบรนด์ดัง และหลุดการป้องกันที่ควรแปลงโดเมนเหล่านี้เป็น Punycode (รูปแบบ ASCII ที่ขึ้นต้นด้วย xn–) รวมถึงหลุดคำเตือนโดเมนคล้าย (lookalike warning) บางส่วน นักวิจัยจดทะเบียนโดเมนสาธิต 20 ชื่อ เช่น аррӏө.com ที่เลียนแบบ apple.com และ oƙta.com ที่เลียนแบบ okta.com ซึ่ง Chrome 154 บน macOS แสดงเป็นตัวอักษรปกติพร้อมใบรับรองที่ถูกต้อง
ต้นเหตุคือกฎตรวจของ Chromium ทำงานแบบ “ทั้งหมดหรือไม่มีเลย” และลำดับการแปลงตัวอักษรก่อนเทียบกับรายชื่อโดเมนยอดนิยมทำให้เครื่องหมายกำกับบางตัวหลงเหลือ จนโดเมนปลอมไม่ตรงกับโดเมนจริงพอที่จะถูกจับ ในการทดสอบอีเมล Gmail แสดงโดเมนผู้ส่งทั้ง 20 ชื่อเป็นตัวอักษรปกติ ขณะที่ Outlook Web แสดงเป็นรูปแบบเข้ารหัส อย่างไรก็ดีนักวิจัยย้ำว่าการทดสอบไม่ได้รวม Safe Browsing การตรวจชื่อเสียงโดเมน หรือระบบกรองสแปม ผลที่ได้จึงไม่ใช่การหลบระบบกันฟิชชิงได้ทุกชั้น แต่แสดงว่าการดูชื่อโดเมนบนแถบที่อยู่ไม่ใช่สิ่งที่เชื่อถือได้
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่านักวิจัยระบุกรณีขอบ 2 แบบที่เกี่ยวกับ IDN ซึ่งหลุดมาตรการป้องกันการแสดงผล Unicode และคำเตือนระหว่างเปิดเว็บไซต์บางส่วนของ Chromium งานวิจัยเผยแพร่บนบล็อกของ Have I Been Squatted เมื่อวันที่ 3 ตุลาคม 2569
นักวิจัยจดทะเบียนโดเมนสาธิต 20 ชื่อ ในจำนวนนี้มี аррӏө.com ที่หน้าตาเหมือน apple.com และ oƙta.com ที่หน้าตาเหมือน okta.com เมื่อทดสอบบน Chrome 154 บน macOS โดเมนเลียนแบบ Apple ที่เป็นตัวซีริลลิกถูกแสดงเป็นตัวอักษร Unicode ปกติพร้อมใบรับรองที่ถูกต้อง ผู้ใช้จึงเห็นแม่กุญแจและชื่อที่ดูเหมือน apple.com
ปกติ Chromium จะแปลง IDN ที่น่าสงสัยเป็น Punycode เพื่อให้ผู้ใช้เห็นว่าไม่ใช่โดเมนจริง การตรวจขั้นแรกคือฟังก์ชัน SafeToDisplayAsUnicode() ซึ่งตรวจแต่ละส่วนของโดเมนว่ามีตัวอักษรต้องห้าม มีการผสมชุดตัวอักษรที่ไม่ปลอดภัย หรือเป็นการเลียนแบบด้วยตัวอักษรชุดเดียวทั้งคำ (whole-script confusable) หรือไม่ การตรวจแบบหลังนี้เพิ่มเข้ามาหลังนาย Xudong Zheng สาธิตโดเมน аррӏе.com ที่ใช้ตัวซีริลลิกทั้งหมดเลียนแบบ apple.com เมื่อปี 2560
การตรวจขั้นที่สองคือฟังก์ชัน GetSimilarTopDomain() ซึ่งแปลงชื่อโดเมนเป็น “โครง” (skeleton) ที่ทำให้ตัวอักษรหน้าตาคล้ายกันกลายเป็นตัวเดียวกัน แล้วเทียบกับรายชื่อโดเมนยอดนิยม 8,462 ชื่อที่ฝังมากับเบราว์เซอร์ หากตรงกับโดเมนอื่นพอดี เบราว์เซอร์จะบังคับแสดงเป็น Punycode
ด้านอีเมล นักวิจัยทดสอบด้วยผู้ส่งที่ใช้ IDN 20 ชื่อ พบว่า Gmail แสดงทุกโดเมนเป็น Unicode ขณะที่ Outlook Web แสดงเป็น A-label ที่เข้ารหัสแล้ว การทดสอบนี้นำเข้าข้อความไปยังกล่องจดหมายของนักวิจัยเอง จึงไม่ได้ประเมินระบบกรองสแปม ชื่อเสียงผู้ส่ง หรือการสแกนลิงก์
รายละเอียดช่องโหว่
กรณีที่ 1: ตัวอักษร “breaker” หลุดกฎ whole-script confusable กฎนี้ของ Chromium ทำงานแบบทั้งหมดหรือไม่มีเลย คือจะบล็อกเฉพาะเมื่อทุกตัวอักษรในโดเมนอยู่ในรายการตัวซีริลลิกที่หน้าตาเหมือนละติน аррӏе.com ถูกบล็อกเพราะทุกตัวอยู่ในรายการ แต่เมื่อเปลี่ยนตัว е ตัวสุดท้ายเป็น ө (U+04E9) ซึ่งเป็นตัวอักษรที่อนุญาตแต่ไม่อยู่ในรายการตัวหน้าตาเหมือน โดเมน аррӏө.com จึงผ่านการตรวจ นักวิจัยเรียกตัวอักษรแบบนี้ว่า “breaker” ตัวอื่นที่ใช้ได้มีเช่น ү และ ї แต่ความสำเร็จยังขึ้นกับตัวอักษรที่เหลือและการตรวจขั้นถัดไป การผสมตัวละตินปกติกับซีริลลิกมักไม่ผ่านการตรวจการผสมชุดตัวอักษรในขั้นแรก
กรณีที่ 2: ลำดับการแปลงทำให้เครื่องหมายกำกับหลงเหลือ ฟังก์ชัน GetSimilarTopDomain() ถอดเครื่องหมายกำกับ (diacritic) ออกก่อน แล้วจึงแปลงตัวอักษรหน้าตาเหมือน (confusable mapping) ตัวอักษรที่ได้เครื่องหมายกำกับ (combining mark) มาจากขั้นแปลงทีหลังจึงยังมีเครื่องหมายนั้นติดอยู่ในโครงสุดท้าย ตัวอย่างคือ ƙ ใน oƙta.com ถูกแปลงเป็น k ตามด้วยเครื่องหมายกำกับ ทำให้โครงไม่ตรงกับ okta.com และ ө ถูกแปลงเป็น o ตามด้วยขีดกำกับ โดเมนเลียนแบบ Apple จึงต่างจาก apple.com ทั้งตัวอักษรที่ถูกแทนและเครื่องหมายที่เพิ่มมา
ช่องว่างของการตรวจโดเมนใกล้เคียง ระหว่างเปิดเว็บ Chromium ยังเทียบโดเมนกับเว็บยอดนิยมและเว็บที่ผู้ใช้เข้าบ่อยแบบยอมให้ต่างกันได้ แต่มีข้อจำกัด 2 ข้อที่เข้าทางตัวอย่างนี้ คือ ยอมให้ต่างได้เพียง 1 ตำแหน่ง (one edit) ขณะที่โครงของ аррӏө.com ต่างจาก apple.com 2 ตำแหน่ง และข้ามการตรวจโดเมนใกล้เคียงสำหรับโดเมนเป้าหมายที่มีน้อยกว่า 5 ตัวอักษรก่อน TLD ซึ่งทำให้ okta.com ไม่ถูกตรวจ ผลคือทั้งสองตัวอย่างเปิดได้โดยไม่มีคำเตือนโดเมนคล้ายภายใต้เงื่อนไขที่ทดสอบ
ข้อจำกัดของงานวิจัยที่ต้องระบุคือ การทดสอบไม่ได้รวมการตรวจชื่อเสียงโดเมน allowlist จากระยะไกล หรือการเปลี่ยนเส้นทาง (redirect) และไม่ได้ทดสอบ Google Safe Browsing ซึ่งอาจบล็อกโดเมนเหล่านี้ได้เมื่อถูกใช้ทำฟิชชิงจริงและถูกรายงาน
ผลกระทบ
ผลกระทบหลักตกอยู่กับผู้ใช้ที่ตรวจความถูกต้องของเว็บไซต์ด้วยการดูชื่อโดเมนบนแถบที่อยู่ ซึ่งเป็นคำแนะนำพื้นฐานในการอบรมรู้เท่าทันฟิชชิงเกือบทุกหลักสูตร งานวิจัยนี้แสดงว่าคำแนะนำ “ดูโดเมนให้ดีก่อนกรอกรหัสผ่าน” ใช้ไม่ได้ผลกับโดเมนที่ออกแบบมาเพื่อหลบการตรวจของเบราว์เซอร์ เพราะโดเมนปลอมแสดงผลเหมือนของจริงเกือบทุกตัวอักษร และมีใบรับรอง HTTPS ที่ถูกต้อง
ความเสี่ยงสูงเป็นพิเศษกับแบรนด์ที่ชื่อสั้นต่ำกว่า 5 ตัวอักษรก่อน TLD เช่น okta.com ซึ่งหลุดการตรวจโดเมนใกล้เคียงทั้งหมด ผู้ให้บริการยืนยันตัวตนและ SSO อย่าง Okta เป็นเป้าฟิชชิงที่ผู้โจมตีให้ความสำคัญ เพราะได้ข้อมูลล็อกอินแล้วเข้าระบบอื่นขององค์กรได้ทั้งหมด ส่วนการที่ Gmail แสดงโดเมน IDN เป็นตัวอักษรปกติในชื่อผู้ส่ง ทำให้อีเมลฟิชชิงจากโดเมนเหล่านี้ดูน่าเชื่อขึ้นสำหรับผู้ใช้ Gmail
คำแนะนำ
- ใช้การยืนยันตัวตนที่ทนต่อฟิชชิง เช่น FIDO2 security key หรือ passkey เพราะข้อมูลยืนยันตัวตนผูกกับโดเมนจริง จึงใช้ล็อกอินบนโดเมนเลียนแบบไม่ได้ แม้ผู้ใช้จะหลงกดเข้าไป
- เฝ้าระวังการจดทะเบียนโดเมน IDN (รูปแบบ xn–) ที่ห่างจากโดเมนขององค์กรไม่เกิน 2 ตำแหน่ง ทั้งโดเมนหลักและโดเมนของบริการสำคัญอย่าง SSO
- เปิดใช้การป้องกันการปลอมแปลงผู้ส่ง (impersonation protection) บน email gateway และตั้งกฎตรวจโดเมนผู้ส่งที่เป็น IDN
- ตั้งนโยบาย DNS และ web proxy ที่รู้จัก IDN เช่น แจ้งเตือนหรือบล็อกโดเมน xn– ที่ไม่เคยเข้าถึงมาก่อน หรือจำกัดเฉพาะชุดตัวอักษรที่องค์กรใช้งานจริง
- ปรับเนื้อหาอบรมความตระหนักรู้ ไม่สอนให้พึ่งการดูแถบที่อยู่อย่างเดียว แต่ให้เข้าระบบสำคัญจากบุ๊กมาร์กหรือพิมพ์ที่อยู่เอง และใช้ password manager ที่จะไม่กรอกรหัสผ่านอัตโนมัติบนโดเมนที่ไม่ตรง