Один з ключових показників безпечного з'єднання не допомагає відрізнити оригінал від вмілої копії.

Адресний рядок здавна служив остаточною перевіркою перед введенням пароля, але два рідкісні символи можуть зробити цей знайомий орієнтир оманливим. Ієн Мускат та Лієн Бріфф з *Have I Been Squatted* продемонстрували, що схожі домени обходять перевірки Chromium, відображаючись у Chrome та Edge майже ідентично справжнім адресам відомих сервісів. На момент їхнього дослідження цей обхід все ще був ефективним у Chrome версії 154.


Йдеться про символи **ө** та **ƙ**. Перший належить кирилиці, а другий — латинській літері «k» з гачком. Дослідники зареєстрували 20 демонстраційних доменів, що імітують такі бренди, як Apple, SpaceX, Okta та Nike. Наприклад, `аррӏө[.]com` візуально нагадує `apple.com`, а `oƙta[.]com` виглядає майже ідентично `okta.com`, хоча DNS зберігає обидві адреси в іншому форматі.


Chromium зазвичай захищається від таких омографічних атак за допомогою Punycode. Якщо домен виглядає підозрілим, браузер має відображати технічний рядок, наприклад, `xn-80a6aa68c8d.com`, замість стандартних символів Unicode. Однак символ **ө** відсутній в одному зі списків схожих символів; як наслідок, перевірка безпеки не спрацьовує, і адреса залишається візуально переконливою.


Другий рівень захисту також дає збій. Chromium створює спрощений «скелет» домену та порівнює його з базою даних майже 8500 популярних сайтів. Оскільки перехоплена літера «k» обробляється як окремий символ, а **ө** зберігає свою лінію, отриманий рядок більше не відповідає оригіналу. Браузер вважає адресу достатньо відмінною та не конвертує її в Punycode. 

Additional warnings during navigation do not always suffice. Chromium looks for exact matches, single substitutions, or the transposition of adjacent characters, but complex variants like `аррӏө[.]com` can differ more significantly. Short names also receive less protection; for instance, the four-letter domain `oƙta[.]com` might bypass warnings if the user has not visited the site previously.


The issue extends beyond the address bar. In tests, Gmail displayed all 20 international sender domains in Unicode, whereas Outlook Web showed them in Punycode. The researchers noted that they did not evaluate spam filters, sender reputation, or link scanning mechanisms. Punycode domains have previously appeared in phishing campaigns leveraging trusted infrastructure.


The researchers have found no evidence of widespread exploitation of this bypass method. All 20 domains belong to "Have I Been Squatted" and point to safe demonstration pages. An analysis of the .com zone identified 161,894 pairs of visually similar IDN and standard ASCII domains, though such visual similarity does not inherently indicate phishing or malicious registration.


To mitigate risks, the researchers recommend proactively registering potentially dangerous variants of corporate domains, monitoring for new addresses with the `xn-` prefix, and enabling sender spoofing protection on email gateways. Passkeys and FIDO2 represent a distinct measure: a key tied to the genuine domain will not work on a visual lookalike, even if the address bar looks convincing.