Soluciones / Detección de suplantación de dominios

Detección de domain spoofing antes del primer correo de phishing

Generamos decenas de miles de dominios similares al suyo, encontramos los que se registran, los vigilamos las 24 horas y retiramos los que se vuelven hostiles, con las pruebas que lo demuestran.

Empezar la prueba gratuita Ver cómo funciona
  • Dominios similares encontrados: 612, sitios activos: 438, takedowns realizados: 14.
  • northwind-login.example: combosquat, phishing activo, luego retirado, riesgo 97.
  • northwind-support.example: Combosquat, registrado, después phishing activo, riesgo 58.
  • northwind.invalid: cambio de TLD, aparcado, riesgo 28.
  • northwind-shop.example: Combosquat, phishing activo, riesgo 88.
  • northwlnd.example: homoglifo, phishing activo y después retirado, riesgo 94.
  • northvvind.example: homóglifo, registrado, riesgo 41.
  • nortwind.example: errata, aparcado, riesgo 34.
  • northwind.test: cambio de TLD, takedown realizado, riesgo 12.
  • Cada sitio de phishing se muestra con una captura de pantalla, la similitud de su logotipo, su alojamiento y el avance del takedown: borrador, enviado, bloqueado, retirado.
45+algoritmos de permutación
30 mil–70 milvariaciones por dominio
14monitores por dominio similar
En vivopara ciertas fuentes, 30 min para amenazas

El motor de detección procede de SpoofGuard, nuestra empresa hermana de threat intelligence sobre dominios.

Por qué importa

Una letra de diferencia, y nadie lo nota.

Un dominio similar (lookalike) cuesta unos pocos dólares y unos minutos. Para sus clientes, su personal y sus proveedores, parece ser usted.

El riesgo

  • PhishingPáginas de inicio de sesión que copian la suya y recogen contraseñas.
  • Fraude de facturasCorreos desde un dominio con una letra distinta que piden cambiar los datos bancarios.
  • Tiendas y soporte falsosSitios que venden, cobran o «ayudan» en su nombre.
  • MalwareDescargas y actualizaciones ofrecidas desde un dominio que se parece al suyo.

El valor

  • Alerta tempranaVea los dominios similares cuando se registran, mucho antes de la primera campaña.
  • EvidenciaLas capturas de pantalla, la coincidencia de logotipo y los registros DNS y de correo muestran qué hace cada dominio.
  • AcciónBloquéelos en su pasarela de correo, avise a su personal y retírelos.
  • ConfianzaMenos clientes y socios engañados en su nombre.
En el panel

De un dominio a un takedown (retirada), paso a paso.

Analizar su dominio
Visita guiada por el panel

Paso 1 de 8: Brand library. Se configura una vez y cada análisis lo reutiliza

Marca y datos ficticios. Todos los dominios y direcciones IP están reservados para documentación.

Encontrar

Más de 45 formas de falsificar su dominio. Las probamos todas.

Generamos todas las variaciones que registraría un atacante y comprobamos cuáles existen. Además, vigilamos los lugares donde aparecen primero los nuevos dominios similares.

  • ErratasLetras que faltan, cambiadas, duplicadas o vecinas.
  • HomoglifosCaracteres de aspecto similar, incluidos Unicode y punycode.
  • TLDOtras terminaciones, terminaciones añadidas y subdominios.
  • BitsquatsUn bit cambiado, como el causado por memoria o dispositivos defectuosos.
  • CombinacionesSu nombre más palabras, plurales, guiones y DNS dinámico.
northwind.example
41.870variaciones generadas para northwind.example

Letras que faltan, cambiadas, duplicadas o vecinas.

  • nortwind.exampleletra omitida
  • northwnid.exampleletras intercambiadas
  • northwinnd.exampleletra duplicada
  • nprthwind.exampletecla vecina
Más fuentes externas
Nuevos registros de dominiosRegistros de transparencia de certificadosAnuncios en buscadores y redes socialesListas de phishing y malwareDirectorios web
northwind-login.example
  • Antigüedad del dominioRegistrado hace 3 días
  • EstructuraNombre de marca más «login»
  • Servidor de correoRegistro MX configurado: puede enviar correo
  • CertificadoCertificado emitido ayer
  • Redirecciones2 redirecciones antes de la página
  • Formularios webSolicita correo electrónico y contraseña
  • Coincidencia de logotipoSu logotipo encontrado en la página
  • Palabras clave de marca3 de 3 palabras clave en la página
  • OfuscaciónUn script oculto carga un formulario
  • Listas de bloqueoAún no incluido en listas
Puntuación de URL8
Amenaza: solicitar un takedown
Valorar

Cada dominio similar registrado, comprobado automáticamente.

Cada dominio recibe una captura de pantalla, una coincidencia de logotipo y marca con su Brand library, sus registros DNS y de correo, y una puntuación de URL que se explica por sí sola.

Listas de bloqueo y bases de datos de malware
20
Historial y popularidad del sitio web
85
Contenido y comportamiento del sitio web
92

Cada comprobación incluye un motivo en lenguaje claro, para que vea por qué una puntuación es alta.

Vigilar

Aparcado hoy, phishing la semana próxima.

La mayoría de los dominios similares empiezan siendo inofensivos. Vigilamos cada uno y lo comprobamos con más frecuencia cuanto más se acerca a un ataque: desde una vez al mes para los dominios inactivos hasta cada 30 minutos para las amenazas activas. Algunas fuentes son en vivo: los datos nuevos están en nuestra base de datos en el momento en que llegan.

La vida de un dominio similar

Ilustración con un dominio similar (lookalike) ficticio: northwlnd.example imita a northwind.example

Estado 1 de 8: Sin registrarGenerado a partir de northwind.example. Todavía nadie lo ha registrado. Comprobado cada mes (calendario de ejemplo; 7 niveles, desde mensual hasta cada 30 minutos).

14 monitores en 5 grupos

  • Registro A
  • Registro MX
  • Registro NS
  • Puertos abiertos
  • Estado HTTP(S)
  • Cambio de contenido
  • Content spoofing
  • TLS y registro CT
  • SPF/DMARC/DKIM
  • Cambios en WHOISnot registered (fired now)
  • Puntuación de phishing
  • Puntuación de riesgo
  • Abuso de anuncios
  • Similitud visual

Registro de eventos tiempos relativos

  1. StartVariant generated: i → l
  2. WHOIS: not registered yet
Actuar

De la detección al takedown.

Un clic convierte un dominio similar en una solicitud de takedown. Buscamos los contactos de abuso, adjuntamos la evidencia y su poder de representación firmado, y hacemos seguimiento de cada destinatario. Los takedowns están totalmente incluidos en su plan.

  • EvidenciaSu sitio y el dominio similar lado a lado, con capturas de pantalla, DNS y WHOIS.
  • DestinatariosProveedor de hosting y registrador, localizados automáticamente, además de listas de bloqueo de navegadores y antiphishing.
  • AutoridadUn poder de representación firmado permite que la solicitud actúe en su nombre.
  • SeguimientoEl estado y las respuestas de cada destinatario, en un solo lugar, con avisos por correo electrónico.
northwind-login.example
  • Proveedor de alojamientocontacto de abuso localizado
  • Registrador de dominioscontacto de abuso localizado
  • Lista de bloqueo del navegadorseleccionado
  • Lista antiphishingseleccionado
Poder de representación firmado adjunto
  1. Borrador
  2. Enviado
  3. Bloqueado
  4. Takedown realizado

Las listas de bloqueo importan cuando un proveedor reacciona despacio o no reacciona.

Actividad de takedownnorthwind-login.example
  1. ahoraAutomatizadoSolicitud enviada al proveedor de alojamiento y al registrador
  2. 2 min despuésAutomatizadoListas de bloqueo de navegadores y antiphishing notificadas
  3. 20 min despuésAnalistaEvidencia revisada y completa
  4. al día siguienteVigilarSin respuesta del proveedor de alojamiento
  5. al día siguienteAnalistaEscalado al equipo de abuso del proveedor
  6. 2 días despuésProveedorSitio suspendido por el proveedor de alojamiento
  7. 2 días despuésAnalistaVerificado fuera de línea, la monitorización continúa

Visible para usted en tiempo real. Ejemplo ficticio.

Dirigido por analistas

Cada takedown tiene supervisión. Se escala cuando importa.

La automatización envía las solicitudes. Nuestro equipo de takedown hace el seguimiento de cada una a mano, escala el caso cuando un proveedor no actúa y le mantiene informado en cada paso.

  • SupervisiónUn analista sigue cada takedown desde la primera solicitud hasta la retirada confirmada.
  • Escalado¿Sin respuesta o sin medidas? El equipo escala la solicitud a otros contactos y canales hasta que se resuelve.
  • TransparenciaUsted ve cada paso en el panel: a quién se contactó, cada respuesta, cada escalado y el estado actual.
  • CalidadUn equipo dedicado que hace esto cada día, con un alto nivel de diligencia.
Detalles

Todo el módulo, en breve.

Empiece con un dominio

Vea quién se hace pasar por usted.

Empiece una prueba gratuita y analice su dominio en busca de dominios similares, o reserve una demo para ver la monitorización y los takedowns de su marca.

Empezar la prueba gratuita Reservar una demo