利用 Outlook 的一個漏洞，攻擊者能夠讓用戶誤信發(fā)送給他們的釣魚郵件是真實的。Outlook 中的地址簿能夠顯示來自國際化域名(IDNs)的聯(lián)系信息，但不能確保這些信息是準(zhǔn)確的。IDNs 包括來自其他文字的字母，如西里爾字母，這些字母在外觀上與拉丁字母相似。

通過相似字母欺騙用戶，能夠讓用戶相信這些郵件來自于真正的聯(lián)系人。這個漏洞是由“Dobby1Kenobi”發(fā)現(xiàn)的。

• 我注冊了一個看起來像我自己組織的電子郵件地址，并給自己發(fā)了一封測試郵件，以區(qū)分郵件中的哪些因素突出了可疑之處。
• 這意味著如果一個公司的域名是'somecompany[.]com'，一個注冊了諸如'ѕ omecompany[.]com'(xn--omecompany-l2i[.]com)等國際域名的攻擊者可以利用這個漏洞，向'somecompany.com'內(nèi)使用Microsoft Outlook for Windows的員工發(fā)送有說服力的釣魚郵件。
• 我的機(jī)構(gòu)域名和釣魚域名的不同之處在于，域名的開頭有一個西里爾字母"s"。

微軟表示：

我們已經(jīng)審查了你的案例，不過在這個案例中們決定不會在當(dāng)前版本中修復(fù)這個漏洞，并關(guān)閉這個案例。在這種情況下，雖然可能發(fā)生欺騙行為，但如果沒有數(shù)字簽名，發(fā)件人的身份是不可信的。所需的變化很可能會導(dǎo)致誤報和其他方面的問題。

然而，看起來微軟事實上已經(jīng)提前修復(fù)了它。根據(jù)Manzotti的說法，Outlook 16.0.14228.20216版本不再有這個漏洞。我們建議用戶將Outlook更新到最新版本，并謹(jǐn)防類似的釣魚詐騙。