Chromium IDN 仿冒防護遺漏極具迷惑性的相似網域

儘管多年來已有用於揭露具欺騙性的 Unicode 位址的防護措施，Chromium 的 IDN 仿冒防護仍遺漏了 20 個已註冊的相似網域。其中一個概念驗證網域與 apple.com 極為相似，並以可讀的 Unicode 顯示，而非以 xn-- 開頭、格外顯眼的 Punycode 格式。

這項發現並不代表攻擊者註冊了 Apple 的網域或入侵其基礎設施。Have I Been Squatted（HIBS）的研究人員註冊了另一個網域，其西里爾字母與「apple」中的拉丁字母相似。測試顯示，經過精心挑選的字元可通過 Chromium 的顯示規則及其獨立的導覽期間防護機制。

這個結果再次凸顯瀏覽器自國際化網域名稱廣泛使用以來一直需要面對的矛盾。網絡需要以人們實際使用的語言書寫的位址。然而，這種字元多樣性同時為攻擊者提供更多模仿可信品牌、身份供應商及支付服務的方式。

Chromium 已採用業界最詳盡的防護系統之一。它會檢查文字系統、可疑字元組合、已知網域及瀏覽紀錄。新例子並沒有推翻這些保護措施，而是揭示少數字元如何能夠落在各層防護之間；每一層都會作出略有不同的判斷。

研究人員發現新的 Chromium IDN 仿冒邊緣案例

關鍵改變並非一種被遺忘的攻擊手法重現，而是證明現行 Chromium 檢查機制仍容許具迷惑性的新變種。

HIBS 研究人員 Ian Muscat 與 Leanne Briffa 於 2026 年 10 月 3 日發表分析。他們研究國際化網域能否在 Chromium 系瀏覽器中以 Unicode 顯示的同時，模仿著名的拉丁文字位址。

國際化網域名稱（IDN）包含基本英文字母以外的字元。應用程式會先把這些字元轉換成名為 Punycode 的 ASCII 相容表示法，然後才發出 DNS 請求。因此，以 xn-- 開頭的網域並不必然危險；這是現有網域名稱系統所需的編碼格式。

瀏覽器通常會把該編碼格式轉回易讀的 Unicode 以供顯示。這支援以阿拉伯文、西里爾文、中文及多種其他文字系統書寫的合法位址。當不同字元具有幾乎相同的字形時，安全問題便會出現。

研究人員聚焦於 аррӏө.com，這個網域在常見字型中可與 apple.com 相似。其字母均為西里爾字母，包括外形像拉丁字母「a」、兩個「p」及「l」的字元。最後一個西里爾字元 ө 在網址列大小顯示時，像一個圓潤的「e」。

該位址並非 apple.com。其編碼形式為 xn--80a6aa68c8d.com，而 DNS 將其視為獨立名稱。然而，其可讀版本或會令訪客在視覺上以為自己已到達 Apple 的網域。

HIBS 把該網域及另外 19 個相似網域註冊為概念驗證。名單模仿了與 OpenAI、Skype、SharePoint、SpaceX、Shell、Xerox、Kaspersky、Okta、Nike 及其他知名機構相關的名稱。

原始 IDN 研究指出，Chrome 154 以 Unicode 顯示該 Apple 相似網域，並具有有效憑證。它亦通過研究人員評估的導覽檢查，未有觸發相似網域警告。

有效憑證並不能證明某個網域屬於其所模仿的品牌。它只確認瀏覽器已與該憑證所列網域建立加密連線。攻擊者可以為自己合法控制的網域取得憑證，包括具欺騙性的網域。

這些例子均為受控註冊，並非有針對所有被提及公司客戶的攻擊活動證據。這項區別相當重要，因為技術上可行的仿冒手法並不自動等同於正在進行的網絡釣魚行動。

不過，技術可行性正是這項研究的發現。具欺騙性的網域可支援真實網站、HTTPS、電郵、重新導向及其他一般互聯網服務。攻擊者之後可把視覺相似性配合搜尋廣告、詐騙電郵、QR code、縮短連結或複製的登入頁面使用。

這項研究於 10 月 18 日獲更廣泛報道，當時一項typosquatting 調查詳細說明西里爾字元替換如何避過 Chromium 的規則。這個時間點令許多使用者只會在瀏覽器偵測到可疑情況時才看到的防護措施，再次受到關注。

這形成了本文的核心矛盾。Chromium 必須區分具欺騙性的視覺替換與數以百萬計人士使用的合法文字。若規則足夠廣泛以捕捉每一種相似情況，也會令一般國際化位址更難閱讀及信任。

Chromium Unicode 相似字元如何通過多重檢查

Apple 相似網域之所以能通過檢查，是因為沒有任何單一 Chromium 規則會評估使用者最終看到的完整視覺印象。

Chromium 並非僅檢查網域是否包含 Unicode。它會讓 IDN 經過多項測試，才決定顯示可讀字元還是底層的 Punycode 標籤。

第一個主要層級採用 International Components for Unicode 仿冒檢查器。Chromium 將其設定為「高度限制」級別，以限制可疑的文字系統組合。

一個在拉丁字母中混入一個西里爾字元的標籤通常會無法通過此測試。例如，只替換 apple.com 中第一個「a」，便會令 Chromium 顯示 xn--pple-43d.com。這個編碼位址較不可能被誤認為原本的網域。

新的 Apple 相似網域避免出現這種結果，因為 .com 前的每個字母都是西里爾字母。它是單一文字系統的標籤，而非明顯混合拉丁與西里爾字元的組合。

Chromium 亦維護允許的字元集。它會移除多個與高風險或容易混淆顯示方式相關的 Unicode 區塊及個別碼點。аррӏө.com 中的字元仍然符合資格，部分原因是它們是現實語言中使用的合法字母。

其後還有多項針對性檢查。Chromium 會限制冰島語 thorn 及 eth 在相關國家網域以外使用，亦會限制阿塞拜疆語 schwa，並對加泰羅尼亞語中間點套用特定規則。這些限制均未處理概念驗證中的西里爾字元序列。

最相關的防護是 Chromium 的全文字系統相似字元檢查。它會尋找完全以西里爾字元書寫、且每個字元都與拉丁字母相似的標籤。

Chromium 在 2017 年一場廣受討論的示範後引入這項保護措施。安全研究員 Xudong Zheng 註冊了一個全西里爾字元版本的 apple.com，瀏覽器會將其顯示為極接近真實位址的視覺副本。

Chromium 在 Chrome 58 作出回應。其全文字系統檢查識別出 29 個與拉丁字母相似的西里爾字元。當單一文字系統標籤中的每個字母都屬於該集合時，Chromium 可將網域顯示為 Punycode。

這項防護可攔截 2017 年的版本，但未能攔截新變種，因為 ө 不在該 29 個字元之列。一個集合以外的字元便會令全文字系統條件失效，即使整個標籤仍然像「apple」。

瀏覽器必須在某些情況下允許該字元，因為它並非虛構符號。西里爾字元 ө 用於哈薩克語、蒙古語、韃靼語及其他語言。若在所有情況下封鎖它，將為合法使用者帶來可用性成本。

Chromium 隨後會對受保護網域使用骨架比對。骨架會把視覺相關字元化為標準化表示法，讓軟件可與已知名稱作比較。

這個程序雖然實用，卻無法完美重現人類視覺。在此例中，ө 上的橫線會在標準化後保留下來。所得骨架最終呈現以「o」加組合標記為基礎的形式，而非預期的拉丁字母「e」。

這項差異阻止它與 apple.com 的骨架完全相符。即使該標記在緊湊的瀏覽器介面中難以察覺，一個小標記已足以改變運算結果。

拉丁文字例子揭示了相關弱點。研究人員使用了例如 ƙ 等帶鈎的拉丁字母，模仿包括 Okta 及 Nike 在內名稱中的「k」。Chromium 無法對拉丁字元套用廣泛的全文字系統警告，因為帶重音符號的拉丁網域既常見亦合法。

Chromium 反而會對內置知名網域清單提供較強的骨架防護。HIBS 在該清單中發現 8,462 個名稱，其中 836 個屬於較高優先級群組。然而，保留額外標記的字元可阻止骨架完全相符。

Chromium 顯示指引承認其中的取捨。當其 IDN 顯示規則識別出同形字風險時，Chrome 會顯示 Punycode，但不會把每個非 ASCII 位址都視為惡意。

這種平衡令 Chromium IDN 仿冒成為分類問題，而非簡單的封鎖清單問題。每項新規則都必須捕捉惡意相似性，同時避免將合法的國際化名稱變成難以閱讀的編碼字串。

瀏覽器警告提供第二道防線，但存在限制

即使網域以 Unicode 顯示，仍須經過導覽檢查；但這些檢查取決於完全比對、名稱長度及訪客的瀏覽紀錄。

Chromium 把位址顯示與導覽期間保護分開處理。第一個系統決定主機名稱在網址列的顯示方式；第二個系統可在使用者完成導覽後中斷或標註該次造訪。

Chromium 的相似網域導覽元件會把已造訪位址與熱門網域及使用者經常瀏覽的網站比較。視乎比對結果，Chrome 可顯示全頁式警告頁，或較不干擾的 Safety Tip。

相似網域警告設計將這些檢查描述為 Google Safe Browsing 以外的額外防線。熱門程度及使用者先前的互動，為瀏覽器識別可疑替代網域提供參考依據。

HIBS 表示，若與 836 個最高優先級網域之一的骨架完全相符，便會觸發警告頁。若與另一個內置網域完全相符，則可能顯示 Safety Tip。

瀏覽器亦會考慮使用者有足夠頻率瀏覽的網站。若新位址與其中一個常用網站完全相似，Chromium 可阻止導覽，並詢問訪客是否原意開啟該熟悉網域。

近似比對受到較嚴格限制。Chromium 可偵測骨架中相差一個插入、刪除或替換字元的情況，亦可識別相鄰字元的一次調換。

這些比較並非一律適用。根據研究，近似比對測試會略過頂級網域之前少於五個字元的目標標籤。這對名稱簡短的品牌尤其重要。

使用 ƙ 的 Okta 相似網域與真實名稱只差一次編輯，但「okta」只有四個字元。研究人員表示，這令它過短，無法通過相關的近似比對檢查。

Apple 的例子因另一個原因而未能觸發警告。其骨架與 apple.com 相差兩次編輯，因為 ө 會正規化為「o」加上一條保留的橫線。近似比對只容許一次編輯。

結果，測試網域以 Unicode 顯示並成功載入，沒有出現仿冒警告。HIBS 表示，即使是經常造訪真正 Apple 網站的用戶，情況仍然如此。

這些發現不應被視為對一次瀏覽周邊所有保護措施的完整審核。Safe Browsing、威脅情報來源、端點軟件、DNS 過濾、電郵閘道及信譽服務，仍可能標記惡意網域。

HIBS 亦在評估中排除了部分變數，包括遠端允許清單、信譽檢查及某些重新導向行為。因此，武器化網站可能會遇到概念驗證未有測試的其他防禦措施。

反過來說，新建立的釣魚網域起初可能幾乎沒有信譽資料。攻擊者往往會利用自動系統為相關基礎設施分類，或防禦方完成下架之前的這段空檔。

這說明即使存在多重防護，這個邊緣情況仍然重要。分層安全在各項失效彼此獨立時效果最佳。此處多項檢查依賴關係密切的骨架表示法及網域清單，因此精心挑選的字元可影響多於一項決策。

以瀏覽紀錄為基礎的保護亦意味兩名用戶可能會獲得不同處理。經常造訪受保護服務的用戶，會為瀏覽器提供已知網域作比對。首次造訪者則可能只有內置的熱門網站清單。

這個差異對招聘網站、地區銀行、商業軟件及供應商入口尤其重要。僱員可能收到一個從未造訪過的服務連結，令瀏覽器可用作比對的個人瀏覽紀錄較少。

最安全的結論並不是 Chromium 沒有提供保護。其規則會阻止許多常見的替換手法接觸用戶。教訓是，網址列的外觀及沒有出現警告，本身不能證明網站真確。

IDN 同形異義攻擊不止於網址列

瀏覽器只是其中一個顯示介面，而欺騙性網域可透過電郵、即時通訊應用程式、文件及搜尋結果接觸用戶。

IDN 同形異義攻擊利用外觀相似的不同字元，冒充另一個識別名稱。Typosquatting 則是更廣泛的做法，指註冊容易與合法網域混淆的替代名稱，包括簡單拼寫錯誤及視覺上具欺騙性的字元。

這項新研究正處於兩類手法的交界。這些網域並非傳統鍵盤輸入錯誤，但其視覺相似性可利用快速閱讀、小型螢幕及熟悉的品牌字形。

電郵尤其造成困難的交接環節。Chromium 的網址規則保護由瀏覽器介面顯示的主機名稱，但不會自動規管網頁郵件應用程式放入訊息標頭內的 Unicode 文字。

HIBS 在網頁版 Gmail 和 Outlook 測試了 20 個國際化寄件者網域。研究人員表示，Gmail 將全部 20 個網域以 Unicode 顯示，包括 Chromium 網址列本會以 Punycode 顯示的網域。

測試顯示，Gmail 在獨立的 mailed-by 欄位保留編碼形式。大多數收件人較可能查看顯眼的寄件者欄，而不是展開技術性的傳遞資訊。

研究人員的測試中，網頁版 Outlook 採取相反做法。它將全部 20 個寄件者網域顯示為其 ASCII 相容標籤，包括 café.com 和 zürich.com 等一般國際化名稱。

兩種做法均未能完全解決根本取捨。將所有內容解碼可讓用戶看到可讀的國際化地址，卻保留了視覺歧義；將所有內容編碼則可突顯差異，但會令合法多語言地址變得陌生且難以理解。

即時通訊應用程式及文件亦可能引入同樣的落差。平台可在瀏覽器接收所選目的地前，將 Unicode 連結渲染成一般文字。用戶先評估一種顯示方式，再透過另一個安全系統前往目的地。

搜尋結果及廣告則提供另一條途徑。欺騙性網域可與熟悉的品牌標識及抄襲的網頁標題一同出現。即使地址略有不同，周邊情境亦可能鼓勵用戶自行補全視覺印象。

QR code 在掃描前幾乎完全移除了可見目的地。流動瀏覽器顯示主機名稱的空間亦較少，而介面可能較著重頁面標題而非完整地址。

Unicode Consortium 建議採取多項防禦措施應對易混淆 IDN，包括限制可用字元集合、防止高風險字體混用、套用具語境的語言限制，以及阻止註冊與現有標籤相似的名稱。

其 IDN security guidance 亦強調一項重要限制。Unicode 易混淆字元只佔釣魚活動很小一部分。secure-brand-login.com 等簡單網域仍較常見，亦不需要任何特殊字元。

這個背景可避免把新發現演變成「Unicode 製造了大部分網上詐騙」的說法。攻擊者通常會選擇成本最低而有效的方法。熟悉字詞、誤導性子網域、被盜帳戶或遭入侵的合法網站，可能比建立精密 IDN 更容易。

不過，較低的普遍程度並不會消除高價值目標面對的風險。身份平台、金融服務、雲端控制台及僱員入口可為攻擊者帶來有價值的憑證。視覺效果強烈的冒充手法，可能值得付出額外功夫。

國際化本身並不是漏洞。互聯網必須支援以基本拉丁字母以外文字書寫的名稱。將所有這類地址視為具敵意，會把負擔轉嫁至合法用戶及企業。

尚未解決的問題，是每項防禦應在何處運作。瀏覽器控制顯示及導覽警告；註冊局控制哪些標籤可被註冊；電郵服務控制寄件者呈現方式；品牌擁有人監察可疑註冊，而安全團隊則負責過濾及調查。

沒有任何一方能看見完整攻擊路徑。這種分割令一個被某個介面拒絕的網域，能在另一個介面中顯得可信。

註冊局不能將 Chromium IDN 欺騙問題交由瀏覽器處理

最持久的防禦應在導覽前開始，但註冊局政策在不同語言及頂級網域之間仍然分散。

除非註冊局允許註冊，否則網域無法支援獨立網站或電郵信箱。因此，註冊局管控可在瀏覽器需要決定如何顯示前，封鎖欺騙性名稱。

國際化網域政策通常使用 IDN 表格。這些表格界定頂級網域接受哪些 Unicode 字元，以及哪些組合或變體需要特別處理。

Unicode Consortium 建議將易混淆標籤綑綁或封鎖。綑綁會將相關變體分配予同一註冊人；封鎖則容許一個標籤存在，同時阻止註冊容易混淆的替代名稱。

ICANN 的 IDN implementation guidelines 訂立了旨在減少 cybersquatting 及消費者混淆的一般期望。實際政策仍有差異，因不同註冊局支援不同語言、文字系統及本地要求。

.com 註冊局允許 HIBS 的概念驗證註冊。這並不代表 .com 接受所有 Unicode 序列，而是表示測試的字元及組合符合適用的註冊規則。

HIBS 亦分析了於 2026 年 10 月透過 ICANN Centralized Zone Data Service 取得的 .com 區域檔案。研究人員計得 167,226,216 個已委派的 .com 名稱，當中 733,509 個以 IDN 形式表示。

其方法將 IDN 與視覺上相似的已委派 ASCII 網域建立關聯，得出 161,894 對仿冒組合，涵蓋 133,953 個不同的 ASCII 名稱。

這些數字並非惡意網域數量。研究人員明確提醒，視覺相似的一對名稱可能代表防禦性註冊、多語言網站，或無關的機構。

這個區分至為重要。包含重音字元的網域可能只是巧合地與 ASCII 名稱相似。擁有權、內容、DNS 行為、憑證、電郵設定及重新導向，才可提供更有力的惡意意圖證據。

即使如此，這個規模顯示為何瀏覽器清單無法列舉每個相關目標。Chromium 的內置保護涵蓋數以千計的知名名稱，而 .com 區域則包含數以百萬計可能面對冒充風險的企業及機構。

小型企業可能尤其容易受影響。其網域較不可能出現在全球熱門網站清單上，但客戶可能信任帶有公司名稱的發票、供應商入口及密碼重設訊息。

註冊局可透過禁止新發現的字元在特定語境中使用作出回應。這種做法可封閉一個邊緣情況，但亦可能排除依賴該字元的有效詞語及社群。

較精確的政策可按特定語言關係界定變體。然而，視覺相似性取決於字型、大小、相鄰字母及讀者熟悉程度。對英語使用者明顯可疑的序列，可能是另一種語言中的合法詞語。

防禦性註冊是另一個選項。品牌可註冊可能的變體，並將其重新導向至真正網域。Chromium 的導覽程式碼會識別部分安全重新導向，有助避免由真正機構控制的變體觸發警告。

這項策略無法完美擴展。Unicode 包含許多可能的替換方式，而且註冊政策因頂級網域而異。購買每一個可想像的仿冒名稱會帶來持續成本，仍會留下缺口。

監察可提供更廣泛覆蓋。安全團隊可監察與重要網域相似的新註冊、憑證簽發、DNS 變更及託管行為。及早偵測有助提出下架要求及在攻擊影響大量人員前封鎖。

機構亦應在瀏覽器以外保護高風險工作流程。密碼管理器會將憑證與確切來源相配，因此較不會在仿冒網域自動填入。Passkeys 將驗證綁定至合法網站網域，並能抵禦傳統憑證釣魚。

處理付款或帳戶復原的僱員，需要不依賴連結外觀的驗證途徑。已知書籤、受管理的應用程式入口及獨立確認的聯絡渠道，可減少對視覺辨識網域的依賴。

這些措施處理的不只是 Chromium Unicode 仿冒問題，也有助防範一般拼寫錯誤、誤導性子網域、遭入侵信箱及複製的登入頁面。

因此，壓力同時落在多方身上。Chromium 需要改善其啟發式規則；註冊局需要更強的變體政策；郵件服務供應商需要更清晰的寄件者顯示方式；機構則需要假設用戶有時會誤讀地址的管控措施。

接下來的發展將顯示漏洞是否真正被填補

三項訊號將決定這項研究會帶來持久防禦，還是只會成為仿冒漏洞修補歷史中的又一條記錄。

第一項訊號是 Chromium 規則變更。最明確的回應，是處理西里爾字母 ө、拉丁字母 ƙ，或容許一個未列入清單的字元繞過整套文字系統評估的分支邏輯。

只加入兩個字元可阻止已公開的例子，但未必能解決結構性問題。另一個帶有可見標記或不尋常骨架映射的字元，仍可能重現相同結果。

更廣泛的修正方法可透過額外的骨架轉換，比較最終顯示效果。然而，較寬鬆的比較會增加誤判，尤其是把合法的國際化名稱誤判為有問題。

Chromium 的公開程式碼及測試讓這個過程可供檢視。安全研究人員可以檢查修補程式是否在保留受影響語言中一般網域名稱的同時，攔截已登記的概念驗證案例。

第二個訊號是註冊管理機構的行動。更新後的 IDN 表格可在特定情況下將這些字元分類為變體，或阻止模仿既有 ASCII 標籤的註冊。

註冊管理機構採取行動將加強文章的主要判斷，因為它能在顯示差異出現前阻止具欺騙性的名稱。只限瀏覽器的修補程式，仍會讓這些網域可供採用不同顯示規則的電郵客戶端及其他應用程式使用。

第三個訊號是電郵呈現方式的改變。HIBS 發現 Gmail 會解碼所有受測試的寄件者網域，而 Outlook 則顯示編碼後的標籤。未來的介面改動可能會同時展示兩種形式、標示混合的視覺識別，或在寄件者名稱與已知網域相似時發出警告。

這個訊號很重要，因為電郵仍是竊取憑證及付款詐騙的自然傳遞渠道。Chromium 的修補程式無法保護在網頁應用程式內以文字形式呈現的欺騙性寄件者名稱。

研究人員亦需在更新後重新測試這些發現。原始研究是在某一特定時間檢視特定的瀏覽器行為、已登記名稱及測試信箱。它並未證明每個 Chromium 版本、作業系統、字型或電郵應用程式都會以相同方式呈現這些字元。

字型差異可削弱或加強這種錯覺。在較大字體下，ө 上的橫線較容易察覺。在緊湊的網址列或寄件者欄位中，這項差異可能較不明顯。

報道所述的註冊亦只證明其可行性，而非已遭廣泛利用。若有公開證據顯示釣魚活動使用了這些精確字元，事件的迫切性將會提高。沒有此類報告並不代表這個缺口無害，但會影響風險排序。

對用戶而言，眼前的教訓比「永遠不要信任 Unicode」更具體。面對意外要求時，應透過已知渠道核實，特別是涉及憑證、付款或帳戶復原的要求。書籤或密碼管理員比單靠肉眼檢查提供更可靠的參考。

對管理員而言，應盤點最重要的網域，並監察與其相似的註冊。為敏感系統要求具抗釣魚能力的驗證方式。把新的供應商或付款資料視為需要核實的事件，而非一般電郵工作。

對產品團隊而言，應測試應用程式如何顯示國際化寄件者地址及連結。只顯示易讀的 Unicode 名稱，而不讓用戶查看編碼形式，可能會隱藏有用證據。只顯示 Punycode 則可能會令合法的國際化身分變得不必要地難以使用。

Chromium 的 IDN 欺騙防禦依然相當完善，但這項研究表明，相當完善並不等於完整。瀏覽器會攔截明顯的混合文字替換及已知的整體文字欺騙手法，然後在導覽期間檢查熱門及熟悉的目的地。

經過審慎挑選的字元，仍可改變機器的比較結果，卻不改變匆忙的人所看到的印象。這個落差在程式碼中很小，卻在信任取決於辨識名稱的任何地方具有重要意義。

未來數月應會揭示 Chromium、註冊管理機構及電郵服務供應商，會否把這些例子視為清單中的個別新增項目，還是視為各層需要採取不同假設的證據。在此之前，機構應測試自身網域、加強與來源綁定的驗證，並停止要求用戶單憑排版作出安全決定。