網址幾乎一模一樣！兩個罕見字母藏釣魚風險

(中央社財經訊息服務20261012 10:33:39)收到銀行通知、購物網站優惠或公司系統的登入連結時，通常都會記得要先檢查網址，確認是不是官方網站。但如果網址看起來幾乎一模一樣，連瀏覽器也沒有跳出警告，還能靠肉眼分辨真假嗎？近期資安研究發現，只要利用兩個不常見的特殊字母，就有機會讓假網址在Chrome、Edge等瀏覽器中顯示得極像知名品牌，甚至連網站的安全連線憑證都可以是有效的。

資安研究團隊Have I Been Squatted於10月初公布測試結果，指出西里爾字母「ө」及帶鉤的拉丁字母「ƙ」，可能繞過部分瀏覽器原有的相似網址辨識機制。研究人員實際註冊20個概念驗證網域，模仿Apple、Nike、Okta等網站名稱，證明即使瀏覽器已經設有防護措施，仍可能出現難以察覺的假冒網址。

這個問題出在我們每天使用的英文字母，其實不一定都是同一套文字系統。像是英文的a、o、p，在其他語言中也有外觀非常接近的字母，雖然人眼看起來差不多，電腦卻會將它們視為完全不同的字元。

以研究中的「oƙta.com」為例，乍看與知名身分驗證服務Okta的官方網址「okta.com」十分接近，但其中的「ƙ」並不是一般英文字母k，而是另一個帶鉤的拉丁字母。兩個網址在電腦系統中屬於不同的網域，使用者卻可能在快速瀏覽時忽略差異。

另一個案例則利用西里爾字母組合出與Apple官方網址極為相似的名稱。研究發現，部分特殊字母不在瀏覽器既有的相似字元判斷範圍內，因此即使網址具有迷惑性，也可能直接顯示原始字樣，而不是轉換成較容易辨認的編碼形式。

這類手法並非單純把英文字母拼錯，而是利用不同語言文字外觀相似的特性，製造所謂的「同形異義字元攻擊」。其實這並不是什麼新技術，過去在詐騙防範的相關資訊中也時常被提及。一般常見的假網址，可能只是在品牌名稱中多加或替換一個英文字母，但這類攻擊利用的是肉眼難以察覺的字元差異，即使使用者已經仔細檢查網址，仍可能誤以為自己進入的是官方網站。

更容易造成誤解的是，假網站同樣可能使用HTTPS加密連線，並取得有效的網站憑證。很多人習慣看到網址旁的小鎖頭，或瀏覽器顯示連線安全，就認為網站應該沒有問題，但兩件事其實不能畫上等號。

HTTPS主要保護的是使用者與網站之間的傳輸過程，避免資料在傳送途中被輕易竊聽或竄改，卻不代表網站經營者一定可信。即使連到的是假冒網站，只要對方持有該網域的有效憑證，瀏覽器仍可能顯示連線安全。事實上，Chrome早已將網址列原本的小鎖頭改為網站控制圖示，目的之一就是減少使用者把加密連線誤認為網站可信的情況。

尤其現在免費SSL憑證已相當普遍，像是Let's Encrypt提供的免費憑證，主要只需驗證申請者能控制該網域，而不會進一步確認網站是否為真正的品牌官方網站。這也意味著，詐騙者只要註冊一個看起來與知名品牌相似的網域，同樣可能取得有效憑證、啟用HTTPS，讓假網站看起來和一般正常網站沒有太大差別。

不過，這次研究並不代表Chrome與Edge的防護功能全面失效。現代瀏覽器已經設有相似網址檢查及部分攔截機制，能識別許多可疑網站；研究指出的是，特定字元組合仍可能從現有規則中漏網。而且研究人員註冊的20個網域主要用於測試與展示，目前沒有證據顯示這批網域已經被用於實際釣魚攻擊。這項發現揭露的是可能被利用的技術缺口，不等於知名品牌網站遭入侵，也不代表只要使用Chrome或Edge就一定會受騙。

那麼，既然連網址都可能看錯，一般人還能怎麼保護自己？最簡單的方式，是不要把別人傳來的連結當成登入重要帳號的主要入口。無論是銀行要求更新資料、購物平台通知退款，或公司系統突然要求重新驗證身分，都可以先開啟平常使用的官方App，或透過自己儲存的瀏覽器書籤進入網站，避免直接點擊簡訊、電子郵件或社群訊息中的連結。

另一個值得留意的小細節是密碼管理器。如果平常登入某個網站時，瀏覽器都會自動填入帳號密碼，某次卻突然沒有反應，就應該先停下來確認網址。由於密碼管理器通常會依照網站網域判斷是否填入資料，外觀看起來相似、實際卻不同的網址，可能不會觸發原本的自動填入功能。不過，這只能作為警訊，不能單憑是否自動填入判定網站真假。

若網站支援通行金鑰（Passkey），也可以優先考慮使用。與傳統輸入密碼不同，通行金鑰會與網站的實際網域綁定，即使假網站名稱看起來很像，也無法直接使用原本為官方網站建立的登入憑證，有助於降低這類假冒網站竊取帳號的風險。

對企業而言，這項研究同樣值得關注。假冒網站不一定只針對消費者，員工登入公司信箱、雲端管理平台或客戶管理系統時，也可能遇到相似網址。除了加強員工辨識能力，企業還需要留意是否出現模仿自家品牌或網域名稱的新註冊網站，並搭配多因素驗證與郵件防護措施。

過去大家熟悉的網路安全判斷方式只是安全防護的部份手段，下次收到要求登入、付款或輸入個人資料的連結，提高自我安全意識，改為直接從自己熟悉的官方入口重新進入網站，會是更安全的作法。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成