道高一尺，魔高一丈，無論科技公司與你如何防範，惡意人士總能找到方法鑽漏洞，實在讓人防不勝防。惡意人士正在利用 Unicode 字元使網路釣魚連結看起來像是合法正常的 Booking.com 連結，在騙取你的信任後，放鬆警惕點擊連結，讓你主動跳進陷阱中。
Booking.com 網路釣魚活動正偷摸使用日文「ん」蒙混過關
這項攻擊利用日文的平假名「ん」（Unicode U+3093），首先由安全研究員 JAMESWT 發現，在某些字體顯示時，它可能會與拉丁子母「/n」或「/~」非常相似，這種視覺欺騙使詐騙者能夠建立看起來很真的 Booking.com 網域的連結，使網路釣魚連結在人們眼裡看起來很真實，並將用戶導引至惡意網站。
下面是安全研究人員分享的網路釣魚電子郵件截圖：
郵件中的文字，https://admin.booking.com/hotel/hoteladmin/… 本身就具欺騙性。雖然它看起來像一個 Booking.com 位址，但超連結指向的卻是「https://account.booking.comんdetailんrestric-access.www-account-booking.com/en/」。當在網頁瀏覽器的網址列中呈現時，「ん」字元可以誘騙使用者認為正在瀏覽 booking.com 子網域。
這種網路釣魚策略利用同形文字。同形文字是看起來與另一個字元相似但屬於不同字元集或字母表的字元。這些視覺上相似的字元可能會被用於網路釣魚攻擊或建立誤導性內容。例如，西里爾字母「О」（U+041E）對人眼來說可能與拉丁字母「O」（U+004F）相同，但它們是完全不同的字。鑑於同形字形的視覺相似性，威脅行為者在同形異義詞攻擊和網路釣魚電子郵件中一次又一次地利用同形字。在過去的幾年裡，防禦者和軟體開發人員也推出了安全措施，使用戶可以輕鬆區分不同的同形字。
此外，國外媒體 Bleeping Computer 還進一步發現了 Intuit 網路釣魚活動，利用相似的域名，將Intuit 中使用的字母 I 替換成字母 L。你應該始終於第一個 / 之前的實際網域，這才是真正的註冊域名。誠然，使用視覺上具有欺騙性的 Unicode 字元（如「ん」）會造成額外的障礙，並僅靠視覺 URL 檢查並非萬無一失。