유니코드 기호가 일반 문자로 자동 변환되는 특성을 이용해 웹 도메인 주소를 변형하고 접속하는 흥미로운 방법이 2018년에 공개되었습니다. 예를 들어, .tel 최상위 도메인(TLD)을 전화 기호인 .℡로, 노르웨이의 .no 도메인을 번호 기호인 .№로 입력해도 실제 웹사이트에 접속할 수 있습니다. 이는 브라우저가 유니코드 문자를 표준 ASCII 문자로 정규화하는 과정에서 발생하는 현상입니다.
이러한 방식은 최상위 도메인뿐만 아니라 도메인 이름 전체에도 적용됩니다. 필기체, 굵은 수학 문자, 원문자 등 다양한 유니코드 스타일을 활용해 'example.com'과 같은 주소를 'ℰ𝒳𝒜ℳ𝓟ℒℰ.𝒞𝓞ℳ'이나 'ⓔⓧⓐⓜⓟⓛⓔ.ⓒⓞⓜ'처럼 표기할 수 있습니다. 직접적인 DNS(Domain Name System) 질의에서는 변형된 문자를 인식하지 못하며, 웹 브라우저가 유니코드 표준(IDNA2008, RFC5895)에 따라 문자를 변환하여 실제 도메인으로 연결하는 것으로 추정됩니다. 2018년 당시 실험 결과, 대부분의 최신 브라우저와 일부 명령줄 도구(curl, wget)에서 작동했지만, 복사 경로에 따라 실패하거나 소셜 미디어 플랫폼에서는 링크로 인식되지 않는 등 호환성 제약도 있었습니다.
이러한 유니코드 도메인 해킹은 시각적으로 독특하고 짧은 URL을 만들거나, 특정 URL 필터를 우회하는 데 활용될 가능성이 있습니다. 그러나 일관된 작동을 보장하기 어렵고, 보안 측면에서는 피싱(phishing) 공격에 악용될 여지도 있습니다. 예를 들어, 특정 브랜드의 도메인과 매우 유사하지만 실제로는 다른 유니코드 문자를 사용한 주소를 만들어 사용자를 속일 수 있습니다. 따라서 웹 브라우저와 서비스 제공자들은 이러한 유니코드 정규화의 보안 취약점을 인지하고, 사용자 혼동을 방지하기 위한 조치를 지속적으로 강화해야 할 필요가 있습니다.