Samankaltaiset verkkotunnukset ja typosquatting: miten tunnistaa teitä jäljittelevä verkkotunnus

Samankaltainen verkkotunnus on rekisteröity niin, että se näyttää ensisilmäyksellä omaltanne: examp1e.com eikä example.com, example-billing.com, example.co tai versio, jossa latinalainen kirjain on vaihdettu toisen aakkoston samannäköiseen merkkiin. Typosquatting on tämän vanhin muoto: joku rekisteröi verkkotunnuksen, jolle asiakkaanne päätyvät kirjoittaessaan teidän osoitteenne väärin.

Useimmat tällaiset rekisteröinnit ovat harmittomia tai pysäköityjä. Merkitystä on niillä, joille on määritetty sähköpostipalvelimet, TLS-varmenne tai verkkosivu, joka kopioi ulkoasuanne. Juuri niitä käytetään väärennettyjen laskujen lähettämiseen nimissänne, väärennetyn kirjautumissivun ylläpitämiseen tai teille tarkoitetun postin keräämiseen.

Hyvä uutinen on, että voitte löytää ne itse muutamalla komennolla, ja vaarallisten poistamiseen on selkeä reitti.

Miten samankaltaiset verkkotunnukset rakennetaan

Hyökkääjät ja tilaisuuden hyödyntäjät käyttävät muutamaa ennustettavaa kaavaa:

• Merkkien vaihdot: 1 kirjaimen l tilalla, 0 kirjaimen o tilalla, rn kirjaimen m tilalla (exarnple.com).
• Puuttuva tai toistuva kirjain: (exmple.com, exaample.com).
• Lisätyt sanat: example-login.com, example-support.com, secure-example.com.
• Muut ylätason verkkotunnukset: example.co, example.net, example.io.
• Homoglyfit: kansainvälistetyt verkkotunnukset, joissa käytetään kyrillisiä tai kreikkalaisia merkkejä, jotka näyttävät lähes latinalaisilta. DNS:ssä ne näkyvät Punycode-muodossa ja alkavat merkkijonolla xn--.
• Aliverkkotunnustemput: example.com.account-verify.net, jossa todellinen rekisteröity verkkotunnus on lopussa oleva osa.

Koska kaavat ovat ennustettavia, niitä voi luoda ja tarkistaa automaattisesti.

Miten tarkistatte samankaltaiset verkkotunnukset itse

Avoimen lähdekoodin työkalu dnstwist luo verkkotunnuksestanne muunnelmia ja tarkistaa, mitkä niistä ovat todella olemassa. Hyvä ensimmäinen ajo näyttää vain rekisteröidyt muunnelmat:

dnstwist --registered example.com

Nähdäksenne, mitkä niistä tarjoilevat teidän sivuanne muistuttavaa sisältöä, työkalu voi verrata kunkin sivuston HTML:ää omaanne sumean tiivisteen (fuzzy hashing) avulla:

dnstwist --lsh example.com

Katsokaa jokaisesta rekisteröidystä samankaltaisesta verkkotunnuksesta 3 asiaa:

1. Sähköpostitietueet. Verkkotunnus, jolla on MX-tietueet, voi vastaanottaa postia. Tarkistakaa komennolla dig MX examp1e.com +short. Juuri kyky käsitellä postia tekee pysäköidystä verkkotunnuksesta laskupetoksen välineen.
2. Varmenteet. Samankaltaiselle verkkotunnukselle myönnetty varmenne viittaa siihen, että joku aikoo tarjoilla siitä HTTPS-sivuja. Certificate Transparency -lokit kirjaavat myönnetyt varmenteet, ja voitte hakea niistä palvelussa crt.sh. Artikkelimme Certificate Transparency -lokeista kertoo, miten.
3. Sisältö. Avatkaa sivusto eristetyssä selaimessa tai tarkistakaa se kuvakaappauspalvelulla. Kopio logostanne, kirjautumislomakkeestanne tai laskuportaalistanne on selvin merkki.

Toistakaa tarkistus sitten säännöllisesti. Viime kuussa rekisteröity ja tänään hiljainen verkkotunnus voi saada huomenna sähköpostitietueet ja kirjautumissivun.

Mitkä havainnot vaativat toimia

Jokainen muunnelma ei vaadi reaktiota. Järkevä tapa lajitella ne:

• Seuranta: rekisteröity, pysäköity, ei MX-tietueita, ei varmennetta. Kirjatkaa se ylös ja tarkistakaa myöhemmin uudelleen.
• Selvitys: MX-tietueet olemassa, tuore varmenne tai rekisteröintipäivä viime viikoilta.
• Välittömät toimet: brändiänne jäljittelevä sivu, kirjautumislomake tai ilmoituksia asiakkailta tai henkilöstöltä, jotka ovat saaneet postia verkkotunnuksesta.

Jos samankaltainen verkkotunnus lähettää postia nimissänne, kertokaa myös talousosastollenne ja tärkeimmille asiakkaillenne, mitä verkkotunnusta pitää varoa. Lyhyt viesti ("laskutamme vain osoitteesta example.com") estää enemmän vahinkoa kuin mikään poistopyyntö.

Samankaltaisen verkkotunnuksen poistattaminen

Aktiivisen tietojenkalastelusivun kohdalla aloittakaa nopeimmista reiteistä:

• Ilmoittakaa URL-osoite palveluihin Google Safe Browsing ja Microsoft, jotta selaimet alkavat varoittaa kävijöitä.
• Ilmoittakaa verkkotunnusvälittäjälle (registrar). ICANNin akkreditoimien verkkotunnusvälittäjien on julkaistava väärinkäytösten yhteystieto, ja vuoden 2013 Registrar Accreditation Agreement -sopimuksen (kohta 3.18) mukaan niiden on ryhdyttävä kohtuullisiin ja ripeisiin toimiin väärinkäytösilmoitusten selvittämiseksi.
• Ilmoittakaa hosting-palveluntarjoajalle, jonka sivuston IP-osoite paljastaa.

Verkkotunnukselle, joka loukkaa tavaramerkkiänne mutta ei ole ilmeisen haitallinen, tavallinen reitti yleisissä ylätason verkkotunnuksissa on Uniform Domain Name Dispute Resolution Policy (UDRP). Valittajan on osoitettava, että verkkotunnus on identtinen tai sekaannusta aiheuttavalla tavalla samankaltainen sellaisen merkin kanssa, johon sillä on oikeudet, että haltijalla ei ole siihen oikeuksia tai oikeutettua etua ja että se on rekisteröity ja sitä käytetään vilpillisessä mielessä. Ratkaisuna verkkotunnus joko poistetaan tai siirretään valittajalle. Kyse on oikeudellisesta toimenpiteestä, joten ottakaa mukaan lakimiehenne.

Artikkelimme brändiänne käyttävistä väärennetyistä kirjautumissivuista käsittelee poistoprosessia tarkemmin.

Vahingon pienentäminen etukäteen

Ette voi estää muita rekisteröimästä verkkotunnuksia, mutta voitte tehdä samankaltaisista vähemmän hyödyllisiä:

• Rekisteröikää ilmeiset muunnelmat pääverkkotunnuksestanne: yleisimmät kirjoitusvirheet ja ylätason verkkotunnukset, joita asiakkaanne todennäköisesti kirjoittavat.
• Julkaiskaa tiukka sähköpostin todennus oikealle verkkotunnuksellenne. SPF, DKIM ja DMARC-käytäntö quarantine tai reject eivät pysäytä samankaltaista verkkotunnusta, mutta ne estävät oman verkkotunnuksenne tarkan väärentämisen, ja hyökkääjälle jää ainoaksi vaihtoehdoksi samankaltainen verkkotunnus. Katsokaa SPF, DKIM ja DMARC selitettynä.
• Sopikaa maksujen varmistamisesta. Jokainen pankkitietojen muutos vahvistetaan puhelimitse numerosta, joka teillä on jo tiedossa, ei koskaan sähköpostissa annetusta.
• Kertokaa asiakkaille viralliset verkkotunnuksenne verkkosivustollanne ja laskuissa.

Tarkistuslista

• Ajakaa dnstwist --registered jokaiselle verkkotunnuksellenne.
• Tarkistakaa jokaisesta osumasta MX-tietueet, varmenteet palvelussa crt.sh ja sivun sisältö.
• Ilmoittakaa aktiivinen tietojenkalastelu Googlelle, Microsoftille, verkkotunnusvälittäjälle ja hosting-palvelulle.
• Harkitkaa UDRP-menettelyä lakimiehenne kanssa tavaramerkin väärinkäytössä.
• Rekisteröikää keskeiset muunnelmat ja ottakaa DMARC-käytäntö käyttöön oikeassa verkkotunnuksessanne.
• Toistakaa haku aikataulun mukaan, ei vain kerran.

Miten Datahorses auttaa

Datahorses valvoo yritystänne ulkoapäin joka päivä, myös uusia omaanne muistuttavia verkkotunnuksia, niiden kykyä vastaanottaa postia ja sitä, ilmestyykö kirjautumissivuanne jäljittelevä sivu. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Kun jokin muuttuu, ihminen tarkistaa asian ja saatte havainnon selkeine jatkotoimineen, kuten kohdassa mitä tapahtuu, kun löydämme jotain kuvataan. Koko luettelo on kohdassa mitä valvomme.