Dominios similares y typosquatting: cómo detectar un dominio creado para suplantarle

Un dominio similar es un nombre registrado para parecerse al suyo a primera vista: examp1e.com en lugar de example.com, example-billing.com, example.co o una versión que sustituye una letra latina por un carácter parecido de otro alfabeto. El typosquatting es su forma más antigua: alguien registra el dominio al que llegan sus clientes cuando escriben mal el suyo.

La mayoría de estos registros son inofensivos o están aparcados. Los que importan tienen servidores de correo configurados, un certificado TLS o una página web que copia su diseño. Son los dominios que se usan para enviar facturas falsas en su nombre, alojar una página de acceso falsa o recoger correo que iba dirigido a usted.

La buena noticia es que puede encontrarlos usted mismo con unos pocos comandos, y existe un camino claro para conseguir que se retiren los peligrosos.

Cómo se construyen los dominios similares

Atacantes y oportunistas recurren a un puñado de patrones previsibles:

• Sustitución de caracteres: 1 por l, 0 por o, rn por m (exarnple.com).
• Omisión y repetición: una letra que falta o se duplica (exmple.com, exaample.com).
• Palabras añadidas: example-login.com, example-support.com, secure-example.com.
• Otros dominios de nivel superior: example.co, example.net, example.io.
• Homógrafos: nombres de dominio internacionalizados que usan caracteres cirílicos o griegos que se ven casi igual que los latinos. En DNS aparecen como Punycode, empezando por xn--.
• Trucos con subdominios: example.com.account-verify.net, donde el dominio realmente registrado es la parte final.

Como los patrones son previsibles, se pueden generar y comprobar de forma automática.

Cómo buscar dominios similares usted mismo

La herramienta de código abierto dnstwist genera permutaciones de su dominio y comprueba cuáles existen realmente. Una buena primera ejecución muestra solo las variantes registradas:

dnstwist --registered example.com

Para ver cuáles sirven una página parecida a la suya, puede comparar el HTML de cada sitio con el suyo mediante hashing difuso:

dnstwist --lsh example.com

Para cada dominio similar registrado, revise 3 cosas:

1. Registros de correo. Un dominio similar con registros MX puede recibir correo. Compruébelo con dig MX examp1e.com +short. La capacidad de correo es lo que convierte un dominio aparcado en una herramienta para el fraude de facturas.
2. Certificados. Un certificado emitido para el dominio similar indica que alguien pretende servir HTTPS desde él. Los registros de Certificate Transparency anotan los certificados emitidos y cualquiera puede consultarlos en crt.sh. Nuestro artículo sobre los registros de Certificate Transparency explica cómo hacerlo.
3. Contenido. Abra el sitio en un navegador aislado o revíselo con un servicio de capturas de pantalla. Una copia de su logotipo, de su formulario de acceso o de su portal de facturas es la señal más clara.

Después, repita la comprobación con regularidad. Un dominio similar registrado el mes pasado y tranquilo hoy puede tener mañana registros de correo y una página de acceso.

Qué hallazgos merecen una acción

No todas las variantes requieren respuesta. Una forma razonable de clasificarlas:

• Vigilar: registrado, aparcado, sin MX, sin certificado. Anótelo y vuelva a comprobarlo más adelante.
• Investigar: tiene registros MX, un certificado reciente o una fecha de registro de las últimas semanas.
• Actuar ya: una página que imita su marca, un formulario de acceso, o avisos de clientes o empleados que han recibido correo desde ese dominio.

Si un dominio similar está enviando correo en su nombre, informe también a su departamento financiero y a sus clientes clave de qué dominio deben vigilar. Un mensaje breve ("solo facturamos desde example.com") evita más daños que cualquier retirada.

Cómo conseguir que se retire un dominio similar

Ante una página de phishing activa, empiece por las vías más rápidas:

• Denuncie la URL a Google Safe Browsing y a Microsoft, para que los navegadores empiecen a advertir a los visitantes.
• Denúnciela al registrador del dominio. Los registradores acreditados por ICANN deben publicar un contacto de abuso y, según el Registrar Accreditation Agreement de 2013 (sección 3.18), tomar medidas razonables y rápidas para investigar las denuncias de abuso.
• Denúnciela al proveedor de alojamiento que indique la dirección IP del sitio.

Para un dominio que infringe su marca pero no es claramente malicioso, la vía habitual en los dominios genéricos de nivel superior es la Política Uniforme de Solución de Controversias en materia de Nombres de Dominio (UDRP). El reclamante debe demostrar que el dominio es idéntico o confusamente similar a una marca sobre la que tiene derechos, que el titular no tiene derechos ni intereses legítimos sobre él y que se registró y se está utilizando de mala fe. Las soluciones son la cancelación o la transferencia del dominio. Es un paso jurídico, así que cuente con su abogado.

Nuestro artículo sobre páginas de acceso falsas que usan su marca describe el proceso de retirada con más detalle.

Reducir el daño antes de que ocurra

No puede impedir que otros registren dominios, pero sí puede hacer que los dominios similares sean menos útiles:

• Registre las variantes evidentes de su dominio principal: las erratas más comunes y los dominios de nivel superior que sus clientes probablemente escriban.
• Publique una autenticación de correo estricta en su dominio real. SPF, DKIM y una política DMARC quarantine o reject no detendrán un dominio similar, pero sí impiden la suplantación exacta de su propio dominio y dejan el dominio similar como única opción del atacante. Consulte SPF, DKIM y DMARC explicados.
• Acuerde un procedimiento de verificación de pagos. Cualquier cambio de datos bancarios se confirma por teléfono, con un número que ya tenga, nunca con uno que venga en el correo.
• Comunique a sus clientes sus dominios oficiales en su web y en sus facturas.

Lista de comprobación

• Ejecute dnstwist --registered contra cada uno de sus dominios.
• Para cada resultado, revise los registros MX, los certificados en crt.sh y el contenido de la página.
• Denuncie el phishing activo a Google, Microsoft, el registrador y el proveedor de alojamiento.
• Valore con su abogado una reclamación UDRP en caso de abuso de marca.
• Registre las variantes clave y aplique DMARC en su dominio real.
• Repita la búsqueda de forma periódica, no una sola vez.

Cómo le ayuda Datahorses

Datahorses vigila su empresa desde fuera todos los días, incluidos los dominios recién registrados que se parecen al suyo, si pueden recibir correo y si aparece una página que imita su acceso. No entramos en sus sistemas ni necesitamos ningún acceso. Cuando algo cambia, una persona lo revisa y usted recibe el hallazgo con los pasos siguientes claros, tal como se describe en qué ocurre cuando encontramos algo. La lista completa está en lo que vigilamos.