Podobné domény a typosquatting: jak poznat doménu, která se vydává za vás

Podobná doména (lookalike) je doménové jméno zaregistrované tak, aby na první pohled vypadalo jako to vaše: examp1e.com místo example.com, example-billing.com, example.co nebo varianta, která latinské písmeno nahradí podobným znakem z jiné abecedy. Typosquatting je její nejstarší podoba: někdo zaregistruje doménu, na kterou se vaši zákazníci dostanou, když se při psaní té vaší překlepnou.

Většina takových registrací je neškodná nebo jen zaparkovaná. Pozornost si zaslouží ty, které mají nastavené poštovní servery, TLS certifikát nebo web, který kopíruje váš design. Právě takové domény slouží k rozesílání falešných faktur vaším jménem, k hostování falešné přihlašovací stránky nebo ke sběru pošty, která byla určena vám.

Dobrá zpráva: najdete je sami pomocí několika příkazů a pro odstranění nebezpečných domén existuje jasný postup.

Jak podobné domény vznikají

Útočníci a spekulanti používají několik předvídatelných vzorců:

• Záměna znaků: 1 místo l, 0 místo o, rn místo m (exarnple.com).
• Vynechání a zdvojení: chybějící nebo zdvojené písmeno (exmple.com, exaample.com).
• Přidaná slova: example-login.com, example-support.com, secure-example.com.
• Jiné domény nejvyššího řádu: example.co, example.net, example.io.
• Homoglyfy: internacionalizované doménové názvy s cyrilskými nebo řeckými znaky, které vypadají téměř jako latinské. V DNS mají podobu Punycode, který začíná na xn--.
• Triky se subdoménami: example.com.account-verify.net, kde skutečnou registrovanou doménou je až část na konci.

Protože jsou vzorce předvídatelné, dají se automaticky generovat a kontrolovat.

Jak podobné domény zkontrolovat sami

Open source nástroj dnstwist vygeneruje permutace vaší domény a ověří, které z nich skutečně existují. Při prvním spuštění se vyplatí zobrazit jen registrované varianty:

dnstwist --registered example.com

Pokud chcete vědět, které z nich ukazují stránku podobnou té vaší, nástroj umí porovnat HTML každého webu s vaším pomocí fuzzy hashování:

dnstwist --lsh example.com

U každé registrované podobné domény se podívejte na 3 věci:

1. Poštovní záznamy. Doména s MX záznamy může přijímat poštu. Ověříte to příkazem dig MX examp1e.com +short. Právě schopnost přijímat poštu dělá ze zaparkované domény nástroj pro podvody s fakturami.
2. Certifikáty. Certifikát vydaný pro podobnou doménu naznačuje, že ji někdo chce provozovat přes HTTPS. Záznamy Certificate Transparency evidují vydané certifikáty a prohledat je můžete na crt.sh. Jak na to, vysvětluje náš článek o záznamech Certificate Transparency.
3. Obsah. Otevřete web v izolovaném prohlížeči nebo ho zkontrolujte přes službu pro snímky obrazovky. Kopie vašeho loga, přihlašovacího formuláře nebo fakturačního portálu je nejjasnějším signálem.

Kontrolu pak pravidelně opakujte. Podobná doména, která vznikla minulý měsíc a dnes je tichá, může zítra dostat poštovní záznamy i přihlašovací stránku.

Která zjištění si zaslouží reakci

Ne na každou variantu je třeba reagovat. Rozumné je třídit takto:

• Sledovat: registrovaná, zaparkovaná, bez MX, bez certifikátu. Poznamenejte si ji a později ji zkontrolujte znovu.
• Prověřit: má MX záznamy, nový certifikát nebo byla zaregistrována v posledních několika týdnech.
• Jednat hned: stránka napodobující vaši značku, přihlašovací formulář nebo hlášení zákazníků či zaměstnanců, že z domény dostali poštu.

Pokud podobná doména rozesílá poštu vaším jménem, dejte také vědět finančnímu oddělení a klíčovým zákazníkům, na kterou doménu si mají dát pozor. Krátká zpráva („fakturujeme jen z example.com“) předejde větším škodám než jakékoli odstranění domény.

Jak podobnou doménu nechat odstranit

U aktivní phishingové stránky začněte nejrychlejšími cestami:

• Nahlaste URL službě Google Safe Browsing a Microsoftu, aby prohlížeče začaly návštěvníky varovat.
• Nahlaste ji registrátorovi domény. Registrátoři akreditovaní u ICANN musí zveřejnit kontakt pro hlášení zneužití a podle Registrar Accreditation Agreement z roku 2013 (oddíl 3.18) podniknout přiměřené a rychlé kroky k prošetření hlášení.
• Nahlaste ji také poskytovateli hostingu, kterého zjistíte podle IP adresy webu.

U domény, která porušuje vaši ochrannou známku, ale není zjevně škodlivá, je obvyklou cestou pro generické domény nejvyššího řádu Uniform Domain Name Dispute Resolution Policy (UDRP). Stěžovatel musí doložit, že doména je totožná nebo zaměnitelně podobná známce, k níž má práva, že držitel k ní nemá žádná práva ani oprávněný zájem a že byla zaregistrována a je používána ve zlé víře. Nápravou je zrušení nebo převod domény. Jde o právní krok, proto do něj zapojte svého právníka.

Postup odstranění podrobněji popisuje náš článek o falešných přihlašovacích stránkách s vaší značkou.

Jak omezit škody dřív, než nastanou

Registraci domén nikomu nezakážete, můžete ale podobným doménám výrazně ubrat na užitečnosti:

• Zaregistrujte zjevné varianty své hlavní domény: nejčastější překlepy a domény nejvyššího řádu, které vaši zákazníci pravděpodobně napíší.
• Na své skutečné doméně zveřejněte přísné ověřování e-mailu. SPF, DKIM a politika DMARC quarantine nebo reject podobnou doménu nezastaví, ale zastaví přesné podvržení vaší vlastní domény, takže útočníkovi zbude jen podobná doména. Více v článku SPF, DKIM a DMARC srozumitelně.
• Zaveďte ověřování plateb. Každou změnu bankovního spojení potvrzujte telefonicky na čísle, které už máte, nikdy na čísle z e-mailu.
• Uveďte své oficiální domény na webu i na fakturách, aby je zákazníci znali.

Kontrolní seznam

• Spusťte dnstwist --registered pro každou svou doménu.
• U každého nálezu zkontrolujte MX záznamy, certifikáty na crt.sh a obsah stránky.
• Aktivní phishing nahlaste Googlu, Microsoftu, registrátorovi a hostingu.
• Při zneužití ochranné známky zvažte se svým právníkem UDRP.
• Zaregistrujte klíčové varianty a na skutečné doméně vynucujte DMARC.
• Hledání opakujte pravidelně, nejen jednou.

Jak pomáhá Datahorses

Datahorses každý den sleduje vaši firmu zvenčí. Hlídá i nově zaregistrované domény podobné té vaší: zda mohou přijímat poštu a zda se na nich neobjevila stránka napodobující vaše přihlášení. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme. Když se něco změní, posoudí to náš specialista a vy dostanete zjištění s jasnými dalšími kroky, jak popisujeme v části co se stane, když něco najdeme. Úplný seznam najdete v části co hlídáme.