키릴 문자 악용 가짜 도메인, 브라우저 탐지 뚫려

테크 · 2026-10-18 · Tom's Hardware

유니코드 도메인을 이용한 타이포스쿼팅 공격이 여전히 유효하다는 연구 결과가 나왔다. 크로미움의 가짜 도메인 차단 규칙을 우회하는 키릴 문자 조합 사례가 확인됐다.

유니코드 도메인을 노린 '타이포스쿼팅(typo-squatting)' 공격이 여전히 유효하다는 연구 결과가 나왔다. 보안 업체 하브아이빈스쿼티드(HIBS)는 크로미움(Chromium)의 가짜 도메인 차단 규칙을 우회하는 사례를 공개했다. 실제 애플 도메인과 겉보기에 구별하기 어려운 'аррӏө.com'이 그 예다.

문제의 핵심은 키릴 문자의 '동형이의어(homoglyph)'다. 키릴 문자 а·е·о·р·с는 라틴 문자 a·e·o·p·c와 모양이 사실상 같아 육안으로 구분하기 어렵다. 크로미움은 이런 용도로 상습적으로 쓰이는 키릴 문자 29개를 목록으로 관리해 차단하지만, 마지막 글자인 'ө'는 이 목록에 없어 탐지를 피했다.

크로미움은 2020년 연구에서 이런 위장 도메인의 64.1%를 잡아내 파이어폭스와 사파리를 앞섰다. 인기 도메인 8000여 개 목록을 두고 이 중 836개에는 더 강한 검사를 적용한다. 크롬과 엣지, 브레이브가 모두 크로미움 엔진을 쓴다.

유니코드 문자는 약 17만3000개로 계속 늘어나 모든 예외를 막는 규칙을 만들기 어렵다. HIBS는 기업에 유사 도메인 선등록과 이용자의 패스키(passkey) 사용 독려를 권고했다. 패스키는 특정 도메인에 묶여 있어 가짜 사이트에서는 로그인 자체가 되지 않는다.