保安2026.10.10・Have I Been Squatted
兩個罕見字母，
令假網址在 Chrome 看來和真的一樣
研究人員發現，西里爾字母 ө 和拉丁字母 ƙ 可繞過 Chromium 瀏覽器的防仿冒檢查，並註冊了 20 個示範域名。
TAGTECH 科技版・閱讀時間約 3 分鐘
網址可以包含非英文字母。為防有人用外形相似的字母假冒知名網站，Chrome、Edge 等以 Chromium 為基礎的瀏覽器會作檢查；可疑網址會以 Punycode（以「xn--」開頭的編碼）顯示，讓人一眼看出不是正牌網址。
兩個漏網字母THE TWO LETTERS
Have I Been Squatted 的研究人員 Ian Muscat 和 Leanne Briffa 發現兩個能繞過檢查的字母：見於哈薩克語、蒙古語等的西里爾字母 ө，外形似 o 或 e；以及見於豪薩語的拉丁字母 ƙ，外形似 k。他們用這兩個字母註冊了 20 個仿冒域名，在 9 月 22 日發布的 Chrome 154 上測試，網址都以普通字母形式顯示。這些域名由研究人員持有，只連到說明頁面。
第一道防線CHECK ONE
Chromium 會對網址進行七項顯示檢查，其中一項針對「全部由西里爾字母組成」的仿冒網址。這項檢查始於 2017 年，當時有研究員註冊了全由西里爾字母組成、看似 apple.com 的域名。不過，檢查只在每個字母都屬於內置的「相似字母清單」時才生效；ө 不在清單上，只要網址中有它，檢查便會失效。
第二道防線CHECK TWO
瀏覽器亦會把網址轉為「骨架」，去掉重音等符號，再與約 8,500 個熱門網站比對。ƙ 沒有重音，轉換後成為 k 加一個組合符號，與正牌網址不完全相同，因此避過比對。研究人員以 oƙta.com 為例，它看起來與身份驗證服務 okta.com 幾乎一樣。
怎樣自保WHAT TO DO
看似知名品牌、卻包含罕見字母的網址，可留意瀏覽器是否顯示以「xn--」開頭的編碼，並避免點擊。
KEY NUMBERS・重點數字
20個示範仿冒域名
7項顯示檢查
約8,500個受保護熱門網站