Resumo
Pesquisadores identificaram uma campanha de phishing que usa um truque de homoglyph — substituir a letra "m" pela sequência "rn" — para criar domínios visualmente idênticos aos de Microsoft e Marriott. O método torna a detecção especialmente difícil em telas pequenas e já gerou diversas variações maliciosas de URL.
Descoberta e escopo
Relatório publicado por Cyber Security News, com base em observações de empresas de segurança como Netcraft e comentários de analistas, descreve um conjunto de domínios registrados por atacantes que exploram a semelhança visual entre "m" e "rn" em muitas fontes tipográficas. Entre os alvos apontados estão serviços de login da Microsoft e portais da Marriott International.
Vetor e técnica
A técnica é conhecida como typosquatting ou ataque por homoglyphs: em muitos tipos de letra, a sequência de caracteres "r" seguido de "n" ("rn") é percebida de forma quase idêntica ao caractere "m". Os criminosos registram domínios que substituem "m" por "rn" (por exemplo, rnicrosoft.com em vez de microsoft.com) e os utilizam em campanhas de phishing por e‑mail para enganar usuários e capturar credenciais ou dados pessoais.
Indicadores de compromisso (IOCs)
rnarriottinternational.com— impersonando Marriott Internationalrnarriotthotels.com— variação para marcas hoteleirasrnicrosoft.com— impersonando Microsoft 365 / loginmicros0ft.com— variação com "0" em vez de "o"microsoft-support.com— sufixo / hyphenation comum em golpes
Evidências e limites
O relato cita identificação de clusters de domínios maliciosos por Netcraft e aponta observações de analistas da Anagram sobre campanhas similares. O material público não traz, contudo, métricas sobre número de vítimas, logs de tráfego ou confirmações de roubos de credenciais. Também não há no artigo atribuição a um ator específico nem evidência pública de comprometimento em larga escala de servidores da Microsoft ou Marriott.
Risco móvel e de UX
Os autores ressaltam que o ataque é particularmente eficaz em dispositivos móveis: telas pequenas e fontes reduzidas aumentam a probabilidade de o usuário não perceber a substituição "m" → "rn". Ferramentas de análise visual e revisão manual de URLs tornam‑se menos efetivas nesse cenário, elevando o risco de sucesso do phishing.
Mitigações recomendadas
- Bloquear proativamente os domínios listados em proxies web e filtros de e‑mail corporativos.
- Educação específica para equipes e usuários finais sobre homoglyphs e formas de verificar URLs em dispositivos móveis (tocar no remetente para ver o e‑mail completo, por exemplo).
- Configurar gerenciadores de senhas que não preencham credenciais em domínios similares, reduzindo risco de autofill em sites falsos.
- Preferir acesso manual via digitação do domínio conhecido (
microsoft.com,marriott.com) em casos de notificações urgentes. - Monitorar registros WHOIS e certificar‑se de cobertura de proteção de marca/typosquatting em domínios críticos.
Implicações para times de segurança
Para equipes de defesa, a campanha reforça a necessidade de incluir detecções por similaridade visual e heurísticas de homoglyph em listas de bloqueio e em sistemas de triagem de e‑mail. Além disso, controles de DLP e monitoramento de acesso a contas privilegiadas podem ajudar a detectar tentativas de uso indevido de credenciais obtidas via phishing.
O que falta
O material disponível não informa volume de e‑mails enviados, taxas de clique ou confirmações de roubo de credenciais. Também não há menção a ações tomadas pelas empresas impersonadas (Microsoft, Marriott) nem a takedowns ou solicitações de registro junto a provedores de domínio. Essas lacunas impedem avaliar o impacto operacional real da campanha.
Conclusão
Embora a técnica em si seja conhecida, a identificação de domínios específicos e a ênfase no risco móvel relembram que variantes simples de typosquatting continuam eficazes. Equipes de segurança devem priorizar bloqueios imediatos dos IOCs, comunicação a usuários e a implementação de proteções que reduzam autofill e preenchimento automático em domínios não verificados.
Fontes
Relatório da Cyber Security News com observações de Netcraft e comentários de analistas da Anagram.