PHISHING AWARENESS

Sensibiliséierung • Sensibilisation • Awareness
SECURITY NOTICE — This page is for educational purposes only
An initiative by Sven Clement, Member of Parliament (Député) — Luxembourg
Demonstrating how easily citizens can fall victim to homoglyph phishing attacks

Can you spot the difference? — Kënnt Dir den Ënnerscheed gesinn?

FAKE / PHISHING
bỉl.com
b • • l • . • c • o • m
The "i" is actually U+1EC9
LATIN SMALL LETTER I WITH HOOK ABOVE
VS
REAL / AUTHENTIC
bil.com
b • i • l • . • c • o • m
Normal Latin letter U+0069
LATIN SMALL LETTER I

These two domains look identical to the naked eye, but they are completely different websites.

What a victim would see in their browser

An attacker can register the fake domain, obtain a valid SSL certificate, and clone the real login page. The browser shows no warning.

🔒 https://bilnet.lu.bỉl.com/#/login/device-selection
BIL
Enter your credentials...
Key insight: The green lock icon (HTTPS) does NOT mean a site is safe — it only means the connection is encrypted. Attackers can get free SSL certificates for any domain they own.

Technical Evidence — The Homoglyph Attack

A "homoglyph" is a character that looks identical to another but has a different Unicode code point. This is how the deception works:

Position Real Domain (bil.com) Fake Domain (bỉl.com)
1st char b   U+0062 b   U+0062
2nd char i   U+0069   (Latin letter I)   U+1EC9   (I with hook above)
3rd char l   U+006C l   U+006C
4th char .   U+002E .   U+002E
Only one character is different — and it is visually indistinguishable in virtually all fonts and browsers. No human can tell these apart by looking at them.

How the attack works

1
📧

Victim receives an SMS or email with a link to bỉl.com

2
🔍

The URL looks exactly like bil.com — impossible to distinguish visually

3
🔓

The fake site has HTTPS and a cloned login page — no browser warning

4
💥

Victim enters credentials, which are sent directly to the attacker

Lëtzebuergesch
Français
English
Dës Säit ass eng Initiative vum Sven Clement, Députéierten, fir ze weisen wéi einfach et ass, Leit mat enger Homoglyph-Attack ze täuschen. Kee sollt Schold kréien, wann en drop erafall — dës Attacken sinn entworf, fir onerkennbar ze sinn.

Firwat Leit drop eragefall sinn

Dës Phishing-Attack benotzt eng Technik déi "Homoglyph-Attack" genannt gëtt. Den Attacker huet en Domain registréiert deen genee esou ausgesäit wéi bil.com, awer eng aner Unicode-Buschtaf benotzt — en "i" mat engem Haken driwwer (ỉ) amplaz vum normale Buschtaf "i".

Kee Mënsch kann den Ënnerscheed gesinn. An enger URL-Bar, an enger SMS, an enger E-Mail — déi zwee Zeechen gesinn exakt d'selwecht aus. Et ass onméiglech fir eng normal Persoun, dëst mat bloussem A z'erkennen.

Firwat dës Attack esou geféierlech ass:

  • Den Domain gesäit 100% identesch aus mat dem richtegen bil.com
  • Den Attacker kann e gëltegt SSL-Zertifikat (HTTPS / Schloss-Ikon) kréien
  • D'Login-Säit kann pixel-perfekt kopéiert ginn
  • Keen Browser wéist eng Warnung un
  • Keen Antivirus-Programm erkennt dëst als Phishing
  • Dës Technik funktionéiert fir all Bank-URL — net nëmme fir BIL, mee och fir all aner Bank oder Finanzinstitut

Wéi Dir Iech schütze kënnt

  • Klickt ni op Linken an SMSen oder E-Mailen déi Iech op eng Bank-Säit bréngen
  • Tippt d'URL selwer an — gitt ëmmer selwer www.bil.com an Ären Browser an
  • Benotzt Bookmarks/Favoriten fir Är Banking-Säiten
  • Benotzt d'offiziell BIL App amplaz vum Browser
  • Wann Dir e suspekte Link kréiss, kontaktéiert d'BIL direkt
Cette page est une initiative de Sven Clement, Député à la Chambre des Députés, pour démontrer à quel point il est facile de tromper les citoyens avec une attaque par homoglyphe. Aucune victime ne devrait être blâmée — ces attaques sont conçues pour être indétectables.

Pourquoi les gens sont tombés dans le piège

Cette attaque de phishing utilise une technique appelée « attaque par homoglyphe ». L'attaquant a enregistré un nom de domaine qui ressemble exactement à bil.com, mais qui utilise un caractère Unicode différent — un "i" avec un crochet en chef (ỉ) au lieu de la lettre "i" normale.

Aucun œil humain ne peut voir la différence. Dans une barre d'adresse, un SMS ou un e-mail — les deux caractères sont visuellement identiques. Il est impossible de les distinguer à l'œil nu.

Pourquoi cette attaque est si dangereuse :

  • Le domaine apparaît 100 % identique au vrai bil.com
  • L'attaquant peut obtenir un certificat SSL valide (HTTPS / icône de cadenas)
  • La page de connexion peut être copiée au pixel près
  • Aucun navigateur n'affiche d'avertissement
  • Aucun antivirus ne détecte cette page comme du phishing
  • Cette technique fonctionne pour n'importe quelle URL bancaire — pas seulement pour la BIL, mais pour toute banque ou institution financière

Comment vous protéger

  • Ne cliquez jamais sur des liens dans des SMS ou e-mails qui vous dirigent vers un site bancaire
  • Tapez l'URL vous-même — saisissez toujours www.bil.com directement dans votre navigateur
  • Utilisez des favoris/marque-pages pour vos sites bancaires
  • Utilisez l'application officielle BIL plutôt que le navigateur
  • Si vous recevez un lien suspect, contactez directement la BIL
This page is an initiative by Sven Clement, Member of Parliament (Député), to demonstrate how trivially easy it is to deceive people with a homoglyph attack. No victim should be blamed — these attacks are engineered to be undetectable.

Why people fell for it

This phishing attack uses a technique called a "homoglyph attack". The attacker registered a domain that looks exactly like bil.com, but uses a different Unicode character — an "i" with a hook above (ỉ) instead of the normal letter "i".

No human eye can tell the difference. In a URL bar, an SMS, or an email — the two characters look exactly the same. It is impossible for a normal person to spot this with the naked eye.

Why this attack is so dangerous:

  • The domain appears 100% identical to the real bil.com
  • The attacker can obtain a valid SSL certificate (HTTPS / padlock icon)
  • The login page can be pixel-perfectly cloned
  • No browser displays any warning
  • No antivirus software detects this as phishing
  • This technique works for any bank URL — not just BIL, but any bank or financial institution

How to protect yourself

  • Never click on links in SMS messages or emails that direct you to a banking site
  • Type the URL yourself — always enter www.bil.com directly in your browser
  • Use bookmarks/favorites for your banking websites
  • Use the official BIL app instead of the browser
  • If you receive a suspicious link, contact BIL directly

The bottom line

bỉl.com is not bil.com

Nobody should be blamed for falling for this attack. It is technically impossible to visually distinguish the fake domain from the real one. This is not a case of carelessness — it is a sophisticated attack that exploits Unicode to deceive even security-conscious users.

This technique is not limited to BIL — it can be used against any bank, any website, any URL.

Always type your bank's URL manually or use the official app.
Never trust a link from an SMS or email.