[Перевод] Самый недооценённый 0-Click Account Takeover с использованием Punycode IDN

С этим секретным трюком хакеры зарабатывают 💸 $XX,000+ — теперь твоя очередь.

Введение

При Internationalized Domain Name (IDN) homograph атаках используются символы разных языков, которые выглядят практически одинаково, например, латинская «a» и кириллическая «а». На первый взгляд результат выглядит как обычный домен или адрес электронной почты, но на самом деле происходит подмена на похожие, но технически разные Unicode символы.

Например:

Электронная почта в Unicode кодировке: аdmin@example.com

В формате Punycode: xn — dmin-7cd@example.com

Когда поставщики услуг электронной почты или аутентификации, не могут должным образом различать эти визуально похожие символы, это может привести к серьёзным уязвимостям, таким как: захват учётных записей при регистрации, сброс паролей или даже обход защиты 2FA, что представляет высокий риск, если не принять надлежащих мер.

Источник: Хабрахабр