Técnicas habituales
Letras que faltan o se duplican (example.com pasa a ser exampel.com), letras intercambiadas, otra extensión, caracteres que se parecen, como rn en lugar de m o letras de otros alfabetos, y palabras añadidas como login, secure o el nombre de un servicio. La misma idea se usa en los repositorios de software, donde los atacantes publican paquetes con nombres parecidos a los de paquetes populares.
Cómo se usa
Los dominios parecidos envían correos de phishing que superan las comprobaciones de autenticación porque el atacante controla el dominio, alojan páginas de acceso falsas y suplantan a proveedores en fraudes BEC, a menudo registrando un dominio que se diferencia en una letra del de un proveedor real y respondiendo en un hilo existente. DMARC protege el dominio exacto, pero no frena los dominios parecidos.
Protección
Registrar las variantes más evidentes de los dominios principales, vigilar los nuevos registros de dominios y certificados que se parezcan a la marca, e incluir los dominios parecidos en la vigilancia de la superficie de ataque y de la marca. Los filtros de correo pueden marcar los mensajes que llegan desde dominios recién registrados o parecidos a los de contactos habituales.
Responder
Cuando aparece un dominio parecido malicioso, hay que denunciarlo al registrador y al proveedor de alojamiento, pedir a los navegadores y fabricantes de seguridad que lo bloqueen, y avisar a la plantilla, a los clientes y a los proveedores. Los conflictos por dominios que infringen una marca también pueden resolverse mediante procedimientos como la UDRP. Conviene enseñar a la plantilla a revisar con cuidado el dominio del remitente, sobre todo en las peticiones de pago, dentro de la formación en concienciación.
