Dominios parecidos al tuyo: cómo funcionan y cómo lograr que los den de baja

Un dominio parecido es un nombre registrado que imita al tuyo lo bastante bien como para engañar a primera vista, por ejemplo con un dígito en lugar de una letra, una palabra adicional como “login” o tu nombre con otra terminación. Los atacantes los usan para enviar phishing, alojar páginas de inicio de sesión falsas y hacerse pasar por tu personal ante tus clientes.

Cómo se crean

Los trucos habituales son cambiar un carácter por otro de aspecto similar (un uno por una l, o una “а” cirílica por una “a” latina, lo que se llama homoglifo); omitir, duplicar o intercambiar una letra, o teclear la vecina en el teclado; un guion o una palabra adicional como “login”, “secure” o “support”; y el mismo nombre con otra terminación.

Los nombres internacionalizados (IDN) tienen dos formas: la forma Unicode que ve la gente, que puede verse idéntica a la tuya, y la forma ASCII que empieza con xn-- y es la que usa el DNS. Revisa ambas. ProbeKit siempre muestra las dos.

Señales de riesgo

Un nombre registrado no es lo mismo que una amenaza: la mayoría de los dominios parecidos están sin uso. ProbeKit califica un dominio parecido como alto cuando se registró en los últimos 30 días y tiene servidores de correo o un certificado, medio cuando tiene correo o un sitio web real, y bajo cuando está sin uso o vacío.

Un nombre con servidores de correo puede enviar correo desde el día en que se registra. Un certificado reciente suele significar que alguien prepara una página web. Ninguno de los dos prueba mala intención, por eso el primer análisis de un monitor solo lista lo que ya existe y los siguientes alertan sobre nombres nuevos de riesgo alto.

Nunca necesitas visitar el sitio para juzgarlo. El DNS y los datos públicos del registro (RDAP) dicen si un nombre existe, cuándo se registró y en qué registrador. No abras una página sospechosa en tu navegador habitual para averiguar más.

Denunciar al registrador

1. Reúne la evidencia: el dominio en ambas formas, la fecha de registro, el registrador y capturas de pantalla o una copia del correo de phishing.

2. Busca el contacto de abuso del registrador en el registro del dominio. ProbeKit lo consulta en vivo por ti y no lo guarda.

3. Envía un informe breve a esa dirección de abuso: qué nombre imita el dominio, por qué es dañino y qué encontraste. Los registradores actúan más rápido ante evidencia de phishing o de abuso de marca que ante una sospecha.

4. Si el sitio está activo, denúncialo también al proveedor de alojamiento y en los formularios de denuncia de los servicios de navegación segura de los navegadores.

5. Bloquea el dominio en tu filtro de correo y avisa a las personas a las que podría llegar.

Algunos registradores actúan en un día, otros tardan semanas y unos pocos nunca responden. Para una marca que tienes registrada, una queja UDRP es la vía formal, y conviene que la guíe un abogado.

Bloquéalos en el correo

Mientras avanza la baja, bloquea el dominio. ProbeKit exporta los dominios parecidos abiertos como un CSV con cada dominio en ambas formas, listo para agregarlo a las reglas de bloqueo de tu filtro de correo.

Prevención

Registra las terminaciones y los errores de escritura evidentes que te importen, publica DMARC con p=reject para que nadie pueda enviar como tu dominio exacto (consulta cómo llevar DMARC a reject) y vigila los registros nuevos. DMARC no impide que un dominio parecido envíe como sí mismo, por eso vigilar importa.