Må vi snart bare slutte å klikke på lenker?
En ting du alltid må sjekke
Heldigvis har det alltid vært én ting du kan ta dem på; nemlig å se ekstra godt på adressefeltet i nettleseren din, eller holde muspekeren over lenka i e-posten. De falske sidene har nemlig en helt annen nettadresse – i bildet under ser du for eksempel hvordan det så ut da Apple/Eplehuset ble misbrukt av svindlere nylig:
LURELENKE: Her ser du e-posten og lenka den viste ofrene videre til, fra Eplehusets egen advarsel mot phishingen. Holder du musepekeren over vil du raskt se at den ikke viser til apple.com, slik det ser ut som. Foto: Eplehuset
Om du ser i adressefeltet etter å ha klikket på en slik lenke, er det heldigvis enkelt å se at det ikke stemmer. Apple hadde neppe brukt en nettadresse som educacao.synapsis.org for å gi kundene sine muligheten til å nullstille passordet.
Nei, for de hadde jo heller brukt www.apple.com, ikke sant? Trykk på lenka du nettopp passerte (gjerne i en ny fane). Kom du ikke til Apples nettside, altså? Men i adressefeltet i nettleseren din kan det godt stå apple.com. Nei, det gjør ikke det. Her er nemlig nettadressen skrevet med det kyrilliske tegnsettet og ikke det latinske. Den egentlige nettadressen til siden er https://www.xn--80ak6aa92e.com/.* Klipper du ut det og limer inn i adressefeltet, «oversettes» det av nettleseren din til apple.com; vel å merke om du bruker Chrome, Firefox eller Opera. Safari og Microsofts nettlesere oversetter ikke slike URL-er. Slik ser det ut for de som bruker de nevnte nettleserene: 
Nettsiden er laget av den kinesiske webutvikleren Xudong Zheng, som et «proof-of-concept» på hvordan dette fungerer. Og vi kan vel være enige om at det bare vil være et spørsmål om tid før slike URL-er begynner å dukke opp i svindel-e-postene, og at de kommer til å peke til nettsider som er praktisk talt identiske med den legitime siden.
Derfor skjer det
Når en nettadresse er kodet på denne måten, benytter den seg av det såkalte Unicode-tegnsettet; et stort bibliotek over ulike tegn fra en rekke tegnsett, som nettleseren din oversetter til ASCII. Det er den samme mekanismen som tillater oss nordmenn å registrere .no-domenenavn med æ, ø og å i. Også emoji-ikoner er en del av Unicode-tegnsettet.
Konseptet kalles «punycode» og standard i både Chrome, Firefox og Opera er at dette ikke vises, men oversettes.
Ifølge Fortune, har Zheng meldt ifra om svakhetene, og mottok blant annet 2.000 dollar fra Google, som gladelig premierer folk som finner slike ting. De har allerede laget en fiks som sannsynligvis vil komme i neste Chrome-oppdatering; i løpet av april.
Mozilla, som står bak Firefox, har fortsatt ikke avklart hvordan de skal løse problemet. Men bruker du denne nettleseren, kan du fikse det selv ved å taste inn about:config i adressefeltet, trykke deg forbi advarselen og så søke etter punycode i søkefeltet. Innstillingen står standard som «false» (altså at slike URL-er oversettes), men ved å dobbeltklikke på den setter du den til «true» slik at slike URL-er ikke oversettes.
Så - hvordan unngår du det?
Det skal innrømme at de fleste vil sannsynligvis kunne ha gått på en slik variant av e-postsvindel selv.
Rådet må derfor være som følger:
Dersom du får en e-post som ber deg om å logge på for å endre noe, verifisere informasjon eller lignende, bør du la være å klikke på lenkene i den, og heller åpne siden manuelt i nettleseren din og logge på som vanlig.