Μια ευπάθεια στο Microsoft Outlook ξεγελά τους χρήστες να πιστεύουν ότι τα μηνύματα ηλεκτρονικού ψαρέματος που απευθύνονται σε αυτούς είναι γνήσια. Το Βιβλίο διευθύνσεων στο Outlook εμφανίζει τα στοιχεία επικοινωνίας ενός ατόμου, παρόλο που δεν είναι γνήσια και προέρχονται από διεθνοποιημένα ονόματα τομέα (IDN). Τα IDN περιλαμβάνουν γράμματα από άλλα σενάρια όπως το κυριλλικό που μοιάζουν σε εμφάνιση με γράμματα από το λατινικό αλφάβητο.

Αυτά τα κόλπα εξαπατούν τους χρήστες να πιστεύουν ότι τα μηνύματα ηλεκτρονικού ταχυδρομείου προέρχονται από γνήσιες επαφές. Η ευπάθεια διαπιστώθηκε από το “Dobby1Kenobi”

Έχω καταχωρήσει μια διεύθυνση ηλεκτρονικού ταχυδρομείου που έμοιαζε με τη διεύθυνση ηλεκτρονικού ταχυδρομείου του οργανισμού μου και έστειλα στον εαυτό μου ένα δοκιμαστικό μήνυμα ηλεκτρονικού ταχυδρομείου για να διακρίνω ποιοι παράγοντες στο email ξεχωρίζουν ως ύποπτοι.

Αυτό σημαίνει ότι εάν ο τομέας μιας εταιρείας είναι «somecompany [.] Com», ένας εισβολέας που καταχωρίζει ένα IDN όπως «ѕomecompany [.] Com» (xn-omecompany-l2i [.] Com) θα μπορούσε να εκμεταλλευτεί αυτό το σφάλμα και να στείλει πειστικά μηνύματα ηλεκτρονικού “ψαρέματος” σε υπαλλήλους του “somecompany.com” που χρησιμοποιούσαν το Microsoft Outlook για Windows.

Αυτό που διέφερε μεταξύ του τομέα του οργανισμού μου και του τομέα ηλεκτρονικού “ψαρέματος” ήταν κυριλλικά “s” στην αρχή του ονόματος τομέα.

Ο Mike Manzotti από το Dionach.comεπίσης ανέφερετο σφάλμα. Παρόλο που η Microsoft αναγνώρισε την ευπάθεια, είπε ότι δεν θα κυκλοφορήσει μια διόρθωση για αυτό.

Η Microsoft είπε στον Manzotti:  

Τελειώσαμε την εξέταση της υπόθεσής σας, αλλά σε αυτήν την περίπτωση αποφασίστηκε ότι δεν θα διορθώσουμε αυτήν την ευπάθεια στην τρέχουσα έκδοση και κλείνουμε αυτήν την υπόθεση. Σε αυτήν την περίπτωση, ενώ μπορεί να προκύψει πλαστογραφία, η ταυτότητα των αποστολέων δεν μπορεί να εμπιστευθεί χωρίς ψηφιακή υπογραφή. Οι απαραίτητες αλλαγές είναι πιθανό να προκαλέσουν ψευδώς θετικά και προβλήματα με άλλους τρόπους.

Ωστόσο, φαίνεται ότι η Microsoft έχει προχωρήσει και το έχει διορθώσει. Σύμφωνα με τον Manzotti, η έκδοση 16.0.14228.20216 του Outlook δεν έχει πλέον την ευπάθεια. Συνιστούμε στους χρήστες να ενημερώνουν το Outlook στην πιο πρόσφατη έκδοση και να προσέχουν απάτες ηλεκτρονικού ψαρέματος όπως αυτές.