通过利用Outlook中的一个漏洞，攻击者可以让用户相信发送给他们的钓鱼邮件是真实的。Outlook中的地址簿可以显示来自国际化域名(IDN)的联系人信息，但不能保证信息的准确性。IDN包括来自其他脚本的字母，例如西里尔字母，它们在外观上类似于拉丁字母表。用相似的字母欺骗用户可以让用户相信这些电子邮件来自真实的联系人。这个漏洞是由“Dobby1Kenobi”发现的。我注册了一个看起来像我自己组织的电子邮件地址，并向自己发送了一封测试电子邮件，以区分电子邮件中的哪些元素突出了可疑之处。这意味着如果一家公司的域名是'somecompany[.]com'，那么注册了'?omecompany[.]com'（xn--omecompany-l2i[.]com）这样的国际域名的攻击者就可以利用此漏洞可向使用MicrosoftOutlookforWindows的“somecompany.com”员工发送令人信服的网络钓鱼电子邮件。我的代理域名和钓鱼域名的区别在于域名开头有一个西里尔字母“s”。微软表示：我们已经审查了你的案例，但在这种情况下，我们决定不在当前版本中修复这个漏洞，并关闭了这个案例。在这种情况下，虽然欺骗是可能的，但如果没有数字签名，就无法信任发件人的身份。所需的更改可能会导致误报和其他问题。然而，看起来微软实际上已经提前修复了它。根据Manzotti的说法，Outlook16.0.14228.20216版本不再存在此漏洞。我们建议用户更新Outlook至最新版本，提防类似的网络钓鱼诈骗。
