Pero, ¿puede verse una url exactamente igual que una legítima en la barra de direcciones, mientras que en realidad es una url diferente?
Sí, eso puede ocurrir. Es una técnica avanzada de phishing conocida como ataque homógrafo con IDN .
Los homógrafos (u homoglyphs) son caracteres que parecen muy similares o incluso idénticos. Cuando los navegadores empezaron a admitir nombres de dominio internacionalizados, fue posible mostrar caracteres no latinos en las URL, por lo que teóricamente se podrían combinar diferentes idiomas en un nombre de dominio.
¿Puedes ver la diferencia entre estos?
http://exаmple.com/
http://example.com/
(El primer a es en realidad cirílico.)
Como respuesta a los ataques de homógrafos, los proveedores de navegadores han establecido sus propias políticas de IDN (por ejemplo, Google Chrome , Mozilla Firefox ). Mitigan el problema principalmente al incluir en la lista negra los caracteres potencialmente confusos y mostrar las URL con símbolos no latinos como Punycode bajo ciertas condiciones. Es por eso que su navegador mostrará la primera URL como http://www.xn--exmple-4nf.com/ cuando la visite.
La conversión de direcciones URL potencialmente engañosas al tiempo que se mantiene la facilidad de uso (por ejemplo, aún desearía mostrar un ä literal a alguien en Alemania) ha resultado ser un tanto esquiva, por lo que incluso en 2017 todavía hay se están reportando nuevos ataques de homógrafos
Lea otras preguntas en las etiquetas web-browser