Attaque par homoglyphes
Une attaque par homoglyphes substitue des caractères d’apparence identique ou presque mais de points de code différents : un а cyrillique pour un a latin, un ο grec pour un o latin, un chiffre 1 pour un l minuscule. Dans un nom de domaine, elle produit une adresse sosie pour le phishing ; dans un texte fourni à un modèle de langage, elle déguise un mot-clé pour qu’un filtre le rate alors que le modèle le lit quand même.
Unicode contient de nombreux caractères qui s’affichent pareillement. L’usage classique est le nom de domaine internationalisé qui s’affiche comme une marque de confiance mais résout ailleurs ; les navigateurs montrent désormais ces noms sous leur forme punycode brute quand le mélange d’écritures est suspect, ce qui a émoussé la technique sans y mettre fin. Registrars, clients de messagerie et applications de discussion restent inégaux dans l’affichage des chaînes à écritures mêlées.
Contre les systèmes d’IA, la cible est le filtre plutôt que l’humain. Un scanner qui cherche « ignore les instructions précédentes » ne reconnaît pas « ignоre » avec un о cyrillique, mais un modèle de langage, entraîné sur du texte bruité, lit le mot tel qu’il est voulu. Les homoglyphes, comme les caractères invisibles et l’encodage, sont donc une couche d’évasion enroulée autour d’une autre technique d’injection.
La défense est la normalisation. Replier le texte vers une forme canonique (NFKC), ramener les caractères confusables à leurs équivalents latins, compter combien d’écritures se mêlent dans un même mot ; puis exécuter la détection sur le texte normalisé en gardant une correspondance vers les positions d’origine pour rapporter correctement le passage signalé.
Exemple
Un e-mail de phishing pointe vers un domaine qui s’affiche comme une marque de paiement connue. À l’inspection, la deuxième lettre est U+0430 (a minuscule cyrillique) et non U+0061 ; le domaine a été enregistré deux jours plus tôt et résout vers une adresse d’hébergement listée pour phishing. La même substitution, appliquée aux mots d’une instruction dans une page web, passe à travers un filtre naïf par mots-clés.
Dans isMalicious
La passerelle normalise chaque document scanné (NFKC, repli des confusables, mélange d’écritures) avant d’exécuter les familles de détection, et homoglyph est elle-même l’une de ces familles : un mot à écritures mêlées est signalé et l’instruction sous-jacente est détectée sous sa forme repliée. Un rapport de domaine affiche la forme punycode d’un nom internationalisé à côté de son âge d’enregistrement.
Questions fréquentes
Qu’est-ce que Attaque par homoglyphes ?
Une attaque par homoglyphes substitue des caractères d’apparence identique ou presque mais de points de code différents : un а cyrillique pour un a latin, un ο grec pour un o latin, un chiffre 1 pour un l minuscule. Dans un nom de domaine, elle produit une adresse sosie pour le phishing ; dans un texte fourni à un modèle de langage, elle déguise un mot-clé pour qu’un filtre le rate alors que le modèle le lit quand même.
Quel est le lien entre Attaque par homoglyphes et Typosquattage ?
Attaque par homoglyphes et Typosquattage sont deux notions clés du renseignement sur les menaces. Le typosquattage (ou détournement d’URL) consiste à enregistrer des domaines qui sont de légères fautes d’orthographe de sites légitimes, pour capter le trafic des utilisateurs qui se trompent en tapant. Ces domaines servent souvent au phishing, à la distribution de malwares ou à la fraude publicitaire.
Termes liés
Typosquattage
Le typosquattage (ou détournement d’URL) consiste à enregistrer des domaines qui sont de légères fautes d’orthographe de sites légitimes, pour capter le trafic des utilisateurs qui se trompent en tapant. Ces domaines servent souvent au phishing, à la distribution de malwares ou à la fraude publicitaire.
Injection de texte invisible
L’injection de texte invisible cache des instructions destinées à un modèle de langage dans un contenu qu’un humain ne peut voir : caractères de largeur nulle, caractères Unicode de la catégorie Tags, texte de la couleur du fond, taille de police nulle, commentaires HTML, éléments hors écran, texte alternatif ou métadonnées. Le relecteur voit un document normal ; le modèle, qui lit le texte brut, voit les instructions.
Phishing
Le phishing est une attaque d’ingénierie sociale qui pousse l’utilisateur à livrer ses identifiants, à cliquer sur un lien malveillant ou à télécharger un malware — le plus souvent par e-mail. Le harponnage vise une personne précise ; le smishing passe par SMS, le vishing par la voix.
Mettez ce renseignement au travail
Interrogez les indicateurs indexés — IP, domaines, URL et empreintes — en quelques secondes.