Half oktober ging op X een waarschuwing rond die binnen een paar dagen meer dan 1,7 miljoen keer bekeken was. Twee keer hetzelfde webadres van een grote webwinkel onder elkaar, waarvan er één nep was. Met het blote oog zag je geen verschil. Dat was ook precies het punt.
De nep-letter was een Cyrillische а. In het Russische alfabet ziet die er exact hetzelfde uit als onze a, maar voor een computer is het een totaal ander teken. Een adres met zo’n letter erin leidt naar een andere website, die iemand anders heeft geregistreerd.
Waarom je browser je soms waarschuwt en soms niet
Webadressen kunnen sinds jaren letters uit andere alfabetten bevatten. Achter de schermen zet je browser zo’n adres om naar een code die begint met xn--. Dat heet punycode. Zie je xn-- in je adresbalk, dan zit er een teken in dat geen gewone Latijnse letter is.
Browsers zoals Chrome laten die code zien als een adres Latijnse en Cyrillische letters door elkaar gebruikt. Dat is een goede bescherming. Maar in een mail, een sms of een WhatsApp-bericht zie je de link vaak niet zoals je browser hem ziet. Daar staat gewoon de nette tekst, met de nep-letter erin.
Onzichtbare tekens maken het nog lastiger
In de post die rondging zat nog iets. Tussen de naam en .com stond een teken dat je niet ziet, een zogenoemde zero-width space. Een spatie zonder breedte. Je browser gooit hem bij het openen meestal weg, maar een filter dat naar bekende nepadressen zoekt, kan erover struikelen.
Dit soort trucs is niet nieuw, maar ze worden makkelijker. Een domeinnaam met een nep-letter registreren kost een tientje.
Zo check je een link voordat je klikt
Je kunt er een paar simpele gewoontes van maken:
- Typ het adres van je bank of webwinkel zelf in, of gebruik je eigen bladwijzer. Klik niet op de link in het bericht.
- Houd op je telefoon de link lang ingedrukt. Je ziet dan het echte adres voordat je hem opent.
- Kopieer een verdachte link en plak hem in een tekstveld. Soms verandert hij dan al in xn--.
Wil je weten hoe zo’n adres er van binnen uitziet, dan staat hier een uitleg met een test over nep-letters in een link. Je plakt een link en je ziet per teken welke letter er echt staat.
Een wachtwoordmanager is hier beter dan je ogen
Een wachtwoordmanager vult je gegevens alleen in op het adres waar je ze ooit hebt opgeslagen. Op een nepadres met één Cyrillische letter vult hij niets in. Dat is een sterker signaal dan wat je zelf ziet, want je ogen laten je bij deze truc gewoon in de steek. Weigert je wachtwoordmanager in te vullen op een site die er vertrouwd uitziet, stop dan en kijk nog een keer naar het adres.