Páginas de inicio de sesión falsas con su marca: cómo aparecen y cómo conseguir su retirada

Una página de inicio de sesión falsa es una copia de su pantalla de acceso alojada en un dominio que usted no controla. Existe para recopilar nombres de usuario, contraseñas y a veces códigos de un solo uso de sus clientes o empleados, que llegan a ella a través de un correo, un SMS, un anuncio en buscadores o un enlace en un chat.

Si gestiona un portal de clientes, un webmail, un producto SaaS o cualquier cosa con inicio de sesión, su página puede copiarse en minutos, porque el HTML, el logotipo y los estilos se entregan a cada visitante. Lo que necesitan los atacantes es un dominio que parezca creíble y una forma de atraer a la gente hacia él.

Muchas de estas páginas se pueden detectar antes de que se usen de forma masiva, y hay un conjunto claro de sitios donde denunciarlas para que se bloqueen y se retiren.

Cómo se montan las páginas de inicio de sesión falsas

La mayoría siguen los mismos pasos:

1. Un dominio. Normalmente uno parecido (examp1e.com, example-login.com) o un subdominio en un dominio sin relación (example.com.secure-verify.net). Consulte dominios parecidos y typosquatting.
2. Un certificado. Los navegadores muestran un candado en cualquier sitio con un certificado válido, así que los atacantes consiguen uno para el dominio. Ese certificado queda anotado en los registros de Certificate Transparency.
3. Una copia de su página. A menudo su propio HTML con la acción del formulario modificada para enviar las credenciales a otro lugar. Algunos montajes reenvían las credenciales a su sitio real en tiempo real, lo que permite capturar también los códigos de un solo uso.
4. La distribución. Correo, SMS, mensajes en redes sociales o anuncios de pago que apuntan a la copia.

Los 2 primeros pasos dejan huellas que se pueden observar antes de que mucha gente vea la página.

Cómo detectarlas pronto

Vigile la emisión de certificados. Busque en los registros de Certificate Transparency nombres que contengan su marca, por ejemplo en crt.sh con una consulta como %example%. Un certificado nuevo para example-account-check.com que usted no ha solicitado merece una revisión. Nuestro artículo sobre los registros de Certificate Transparency explica qué muestran.

Vigile los dominios parecidos nuevos. Herramientas como dnstwist enumeran las variantes registradas de su dominio y, con la opción --lsh, comparan su HTML con el suyo:

dnstwist --lsh https://example.com/login example.com

Una puntuación de similitud alta en un dominio que no es suyo es una señal clara.

Escuche a sus usuarios. Tickets de soporte como "he iniciado sesión y no ha pasado nada" o "su web me ha pedido el código 2 veces" suelen ser la primera señal. Dé al equipo de soporte una forma sencilla de reenviar enlaces sospechosos a quien se ocupe de la seguridad.

Revise sus propios logs. Algunas copias cargan imágenes, scripts o fuentes directamente desde su sitio. Las peticiones a sus recursos con una cabecera Referer de un dominio desconocido pueden llevarle hasta la copia.

Cómo conseguir que se retire una página de inicio de sesión falsa

Trabaje estas vías en paralelo, no una detrás de otra:

1. Listas de bloqueo de los navegadores. Notifique la URL a Google Safe Browsing y a Microsoft. Una vez incluida, los principales navegadores muestran una advertencia antes de cargar la página, lo que protege a la gente aunque el sitio siga en línea.
2. La comunidad antiphishing. El Anti-Phishing Working Group pide reenviar los correos de phishing a reportphishing@apwg.org.
3. El registrador. Identifíquelo con whois y use su contacto de abuso. Los registradores acreditados por ICANN deben publicar un contacto de abuso y tomar medidas razonables y rápidas para investigar las denuncias de abuso, según la sección 3.18 del Registrar Accreditation Agreement de 2013.
4. El proveedor de alojamiento. Consulte la IP con dig example-login.com +short, identifique al titular de la red con whois <ip> y denuncie en su dirección de abuso.

Una buena denuncia es breve y verificable: la URL exacta, una captura de pantalla, la hora en que la vio, su dominio real y una frase que explique que la página imita su inicio de sesión para recopilar credenciales. No intente iniciar sesión en la página falsa ni interactuar con ella más allá de lo necesario para documentarla.

Cómo limitar el daño

Las retiradas llevan tiempo, así que reduzca el valor de una contraseña robada:

• Ofrezca y fomente un inicio de sesión resistente al phishing, como las passkeys o las llaves de seguridad, que están vinculadas a su dominio real y no funcionan en una copia.
• Vigile los inicios de sesión inusuales tras una denuncia de phishing: ubicaciones nuevas, muchas cuentas desde una misma IP o restablecimientos de contraseña en masa.
• Diga a sus usuarios dónde se inicia sesión. Un aviso breve ("solo le pedimos que inicie sesión en example.com") ayuda.
• Aplique DMARC en su dominio real para que los correos que llevan a la copia no puedan usar su dirección exacta. Consulte SPF, DKIM y DMARC explicados.
• Restablezca las cuentas afectadas e invalide las sesiones de los usuarios que digan haber introducido su contraseña.

Lista de comprobación

• Búsqueda periódica de su marca en los registros de Certificate Transparency.
• Análisis de dominios parecidos con comparación de páginas.
• Un proceso de soporte para reenviar enlaces sospechosos.
• Plantillas de denuncia listas para Google, Microsoft, APWG, registradores y proveedores de alojamiento.
• Inicio de sesión resistente al phishing a disposición de los usuarios.

Cómo ayuda Datahorses

Datahorses vigila su empresa desde fuera cada día en busca de páginas de inicio de sesión falsas en dominios parecidos, certificados recién emitidos que usan su nombre y denuncias de phishing conocidas que mencionan su marca. No entramos en sus sistemas y no necesitamos accesos. Cuando encontramos una página que imita su inicio de sesión, una persona la revisa y usted recibe los detalles y los pasos para su retirada, como se describe en qué ocurre cuando encontramos algo. Puede ver cómo es un hallazgo así en el panel de ejemplo.