¿Qué es el «typosquatting»?

Un simple error al escribir una URL puede llevar a los usuarios a un sitio equivocado. El «typosquatting» se aprovecha de ese momento utilizando dominios que se parecen a los de sitios web legítimos.

Para las empresas, el riesgo va más allá de las visitas accidentales. Un dominio objeto de «typosquatting» puede utilizarse para llevar a cabo actividades de phishing, robo de credenciales, distribución de malware, business email compromise y suplantación de marca. Esto convierte al «typo squatting» en un problema relacionado con los dominios, el correo electrónico y los riesgos para las personas.

¿Qué es el «typosquatting»?

El «typosquatting» es un ciberataque en el que los autores de amenazas registran dominios que se asemejan a sitios web legítimos, pero que contienen pequeños cambios, como errores ortográficos, letras intercambiadas, caracteres que faltan o dominios de primer nivel engañosos.

Estos dominios similares son lo suficientemente habituales como para afectar a las principales marcas en línea; de hecho, un estudio reveló que 13 857 dominios de «typosquatting» tenían como objetivo los 500 sitios web más visitados del mundo. Un dominio de «typosquatting» está diseñado para que, a simple vista, resulte familiar, de modo que los usuarios puedan acceder al sitio equivocado sin darse cuenta.

El «typosquatting» también se conoce como «secuestro de URL» y está relacionado con la suplantación de dominios, la suplantación de marcas y el «cybersquatting». El objetivo principal es aprovecharse de la confianza que generan los nombres, dominios y marcas conocidos para que los atacantes puedan redirigir el tráfico, sustraer credenciales, recabar información confidencial o facilitar el phishing y el fraude.

«Typosquatting» frente a «cybersquatting»

El «typosquatting» y el «cybersquatting» están relacionados, pero no son exactamente lo mismo. El «typosquatting» se centra en dominios muy similares que presentan pequeños errores o cambios en los caracteres, lo que induce a los usuarios a escribir mal una URL, hacer clic en un enlace engañoso, escanear un código QR o pasar por alto una diferencia en un mensaje de phishing.

La ciberocupación tiene un alcance más amplio, ya que consiste en registrar nombres de dominio vinculados a una marca, una marca registrada o una razón social con el fin de obtener beneficios mediante su reventa, su uso indebido o la confusión que ello pueda generar. En la práctica, el «typosquatting» se utiliza a menudo con fines de engaño deliberado, mientras que el «cybersquatting» también puede implicar la reventa de dominios, el abuso de marcas registradas o la confusión con otras marcas.

¿Cómo funciona el «typosquatting»?

Un ataque de «typosquatting» suele seguir un procedimiento sencillo. El dominio resulta familiar, el usuario confía en él y el atacante se aprovecha de esa confianza para sustraer información o redirigir el tráfico.

Identifique una marca o un dominio de confianza

Los atacantes suelen empezar por un sitio web popular, una plataforma empresarial, un portal de proveedores o una página de inicio de sesión. Eligen nombres que los usuarios suelen reconocer, como aplicaciones de trabajo, herramientas de gestión de nóminas, sitios web para compartir archivos, bancos, portales de comercio electrónico o páginas de atención al cliente.

Registre un dominio similar

El atacante crea un dominio similar utilizando un error ortográfico habitual, una letra que falta, un carácter añadido, una letra intercambiada o un dominio de nivel superior engañoso. Un pequeño cambio puede ser suficiente si los usuarios navegan con rapidez o consultan el enlace desde un dispositivo móvil.

Crear un sitio web engañoso o realizar una redirección

El sitio web falso puede imitar una página de inicio de sesión, un portal de pago, un servicio de asistencia técnica, una página para compartir archivos o una página de descarga de software. En otros casos, el dominio puede redirigir a los usuarios a anuncios, páginas fraudulentas, descargas maliciosas u otra infraestructura controlada por los atacantes.

Atraiga a los usuarios hacia el dominio falso

Algunos usuarios acceden a dominios que son objeto de «typosquatting» al escribir una dirección URL incorrecta. Otros llegan a través de correos electrónicos de phishing, resultados de búsqueda, anuncios de pago, códigos QR, publicaciones en redes sociales o enlaces compartidos en herramientas de colaboración. Por este motivo, el «typosquatting» suele dar mejores resultados cuando se combina con campañas de «phishing».

Aproveche la visita

Una vez que los usuarios acceden a la página, los atacantes pueden sustraer credenciales, capturar datos de pago, recopilar información personal, instalar software malicioso, redirigir el tráfico o suplantar la identidad de la marca de confianza. Algunas estafas de «typosquatting» publicitario también generan ingresos cada vez que alguien visita el sitio web o hace clic en un anuncio.

¿Cuáles son los tipos más habituales de dominios de «typosquatting»?

Los dominios de «typosquatting» suelen basarse en pequeños cambios ortográficos o de caracteres. La diferencia puede resultar evidente si se analiza por separado, pero es fácil pasarla por alto en un correo electrónico, en los resultados de una búsqueda o en un navegador móvil.

• Errores ortográficos: utilice un error ortográfico habitual o una variación fonética, como «exampel.com».
• Letras que faltan: elimine un carácter del dominio válido, como «examle.com».
• Letras añadidas: añada un carácter adicional, como «exampple.com».
• Caracteres repetidos: repita una vocal o una consonante, como en «exammple.com».
• Letras intercambiadas: reorganice las letras adyacentes, como en «exmaple.com».
• Errores tipográficos por teclas adyacentes: sustituir un carácter por una letra cercana del teclado, como «exanple.com».
• Palabras en plural: añada o elimine una «s», como en «examples.com».
• Versiones con guion: inserte un guion para que parezca oficial, como «example-login.com».
• Dominios de primer nivel similares: cambie la terminación, por ejemplo, «example.co» en lugar de «example.com».

Los atacantes también pueden utilizar caracteres visualmente similares o nombres de dominio internacionalizados para que resulte más difícil detectar un dominio de «typosquatting». Por eso, los usuarios no deben basarse únicamente en la revisión visual.

¿Cuáles son algunos ejemplos de «typosquatting» en los ataques a empresas?

Los ataques de «typosquatting» dirigidos a empresas suelen centrarse en las herramientas que los empleados ya utilizan. No es necesario que la página web falsa engañe a todo el mundo. Basta con engañar a un solo usuario que disponga del acceso adecuado.

Páginas de inicio de sesión falsas de Microsoft 365

Los atacantes pueden suplantar páginas de inicio de sesión habituales del entorno laboral para robar nombres de usuario, contraseñas, códigos de autenticación multifactorial (MFA) o información de sesión. Una vez obtenidas las credenciales, los atacantes pueden intentar acceder al correo electrónico, a documentos, a Teams o a otras aplicaciones conectadas.

Portales de recursos humanos

Un portal de recursos humanos falso puede utilizarse para recopilar expedientes de los empleados, datos fiscales, información sobre prestaciones o credenciales de acceso. Estos ataques pueden producirse durante los periodos de inscripción abierta, de incorporación de nuevos empleados o de actualización de nóminas.

Sitios web de nóminas

Las páginas de nóminas que utilizan «typosquatting» pueden recopilar datos bancarios, información sobre domiciliaciones, números de identificación de los empleados o datos de acceso a las cuentas. Esto puede dar lugar a fraudes en la nómina, al robo de identidad o a la apropiación de cuentas.

Páginas para compartir archivos

Los atacantes pueden suplantar la identidad de servicios de intercambio de documentos para engañar a los empleados y que abran archivos maliciosos o introduzcan sus credenciales. Una página falsa de «documentos compartidos» puede resultar especialmente eficaz cuando se envía desde una cuenta comprometida.

Plataformas de gestión de gastos

Los sitios web falsos dedicados a la gestión de reembolsos o gastos pueden recopilar información de pago, datos financieros internos o credenciales de los empleados. Estos ataques pueden producirse en momentos relacionados con los viajes, las compras o la presentación de informes de fin de mes.

Páginas de inicio de sesión de VPN o SSO

Las páginas de VPN o de inicio de sesión único falsificadas pueden proporcionar a los atacantes un acceso más amplio a los sistemas de la empresa. Si el usuario introduce credenciales válidas, el atacante podría conseguir un punto de acceso para realizar un acceso no autorizado o un movimiento lateral.

¿Cuáles son los riesgos empresariales del «typosquatting»?

El «typosquatting» puede actuar como punto de entrada, más que como una amenaza en sí misma. Una página web falsa, un correo electrónico de phishing, un código QR o un mensaje de ingeniería social pueden dar lugar a problemas más graves de seguridad y fraude.

• Robo de credenciales: las páginas de inicio de sesión falsas pueden recopilar nombres de usuario, contraseñas, códigos de autenticación multifactorial (MFA), tokens e información de sesión de empleados, clientes o proveedores.
• Phishing: un dominio que se parece al original puede hacer que los correos electrónicos de phishing, los códigos QR, los anuncios y las publicaciones en redes sociales resulten más creíbles para los usuarios desprevenidos.
• Pérdidas económicas: los atacantes pueden utilizar dominios con errores ortográficos para recabar datos de pago, redirigir facturas, facilitar el fraude en transferencias bancarias o engañar a los usuarios para que paguen a proveedores falsos.
• Daño a la reputación: un sitio web creado mediante «typosquatting» puede hacer que los clientes se cuestionen si una marca es segura, especialmente si los usuarios pierden sus credenciales o información confidencial.
• Cuestiones jurídicas: las empresas pueden tener que dedicar tiempo y dinero a investigaciones, litigios sobre nombres de dominio, solicitudes de retirada de contenidos, notificaciones a los clientes y posibles acciones legales.
• Distribución de malware: los sitios web falsos pueden incitar a los usuarios a descargar archivos maliciosos, actualizaciones del navegador, facturas o instaladores de software.
• Puntos de entrada del ransomware: el malware distribuido a través de un sitio web que se aprovecha de errores ortográficos puede proporcionar a los atacantes un punto de apoyo inicial para llevar a cabo actividades de ransomware .
• business email compromise support: los dominios similares pueden utilizarse para enviar mensajes falsos de proveedores, cometer fraudes en facturas, solicitar cambios en los pagos y suplantar la identidad de directivos.
• Apropiación de cuentas: las credenciales robadas pueden permitir a los atacantes acceder al correo electrónico, a aplicaciones SaaS, a portales de clientes o a sistemas internos.
• Acceso no autorizado: los datos de inicio de sesión, los tokens o los datos de sesión capturados pueden ayudar a los atacantes a acceder a información confidencial o a adentrarse aún más en el entorno.

El «typosquatting» también puede afectar a las cadenas de suministro de software. En algunos casos, los atacantes crean un paquete malicioso con un nombre similar al de un paquete legítimo, con la esperanza de que los desarrolladores instalen el paquete equivocado.

¿Cómo pueden las organizaciones detectar el «typosquatting»?

La detección comienza con la visibilidad en todos los dominios, las URL, el correo electrónico, el comportamiento de los usuarios y las amenazas notificadas. El objetivo es detectar actividades sospechosas antes de que los usuarios caigan en la trampa de la página web falsa.

Supervisar dominios y direcciones URL

Las organizaciones deben realizar un seguimiento de los dominios recién registrados, los dominios similares, los dominios de nivel superior sospechosos, los dominios que combinan una marca con una palabra clave y los caracteres visualmente similares. Los equipos también deben supervisar el tráfico sospechoso, las URL bloqueadas, los clics de los usuarios, las denuncias de phishing y los intentos de inicio de sesión inusuales relacionados con sitios web falsos.

Detectar correos electrónicos y comportamientos de los usuarios que supongan un riesgo

Las herramientas de seguridad del correo electrónico deben identificar los mensajes que contengan enlaces a dominios con errores ortográficos, redireccionamientos sospechosos, páginas de inicio de sesión falsas, sitios web destinados a la recopilación de credenciales y portales de pago inesperados. Las señales relacionadas con el comportamiento de los usuarios, como los clics repetidos en enlaces peligrosos, el envío de credenciales, los intentos fallidos de inicio de sesión o las denuncias de dominios que se hacen pasar por marcas, pueden ayudar a los equipos a identificar a los usuarios vulnerables y a aplicar controles más estrictos.

¿Cómo pueden las organizaciones prevenir los ataques de «typosquatting»?

Las organizaciones no pueden impedir que los atacantes registren todos los dominios fraudulentos, pero sí pueden reducir su vulnerabilidad. La prevención debe combinar la supervisión de dominios, la seguridad del correo electrónico, los controles de DNS, la formación de los usuarios y unos procedimientos de respuesta bien definidos.

• Supervisar los registros de dominios: realice un seguimiento de los dominios recién registrados, los dominios similares, los dominios de nivel superior sospechosos y las variaciones del nombre de la marca combinadas con palabras clave que pudieran imitar a la organización o a sus socios.
• Registre dominios defensivos: asegúrese de adquirir los dominios con errores ortográficos habituales, los dominios de nivel superior alternativos y las variaciones de alto riesgo antes de que los atacantes puedan utilizarlos.
• Refuerce la autenticación del correo electrónico: utilice DMARC, SPF y DKIM para reducir la suplantación de dominios y facilitar la identificación de los correos electrónicos fraudulentos.
• Mejore la seguridad del DNS: utilice el filtrado de DNS y los controles de seguridad para detectar patrones de resolución sospechosos, bloquear dominios maliciosos y reducir el tráfico redirigido.
• Utilice el filtrado de URL y el aislamiento del navegador: bloquee los dominios maliciosos conocidos, las redirecciones sospechosas, los dominios similares detectados recientemente y las URL relacionadas con el phishing o la recopilación de credenciales.
• Cree flujos de trabajo para la eliminación de contenidos: establezca un proceso claro para notificar, validar y eliminar rápidamente los dominios fraudulentos o los sitios web falsos.
• Utilice marcadores para los sitios web más importantes: anime a los empleados a guardar los sitios web de la empresa, los portales de proveedores y las páginas de inicio de sesión que utilizan con frecuencia, en lugar de escribir las direcciones URL manualmente.
• Forme a los usuarios sobre los dominios similares: enseñe a los empleados a revisar los enlaces, a no precipitarse al acceder a las pantallas de inicio de sesión y a informar de cualquier dominio sospechoso antes de introducir sus credenciales.

Estos controles son más eficaces cuando se aplican de forma conjunta. La supervisión de dominios puede ayudar a identificar registros sospechosos, mientras que la seguridad del correo electrónico, la inspección de URL, el filtrado de DNS y la sensibilización de los usuarios pueden reducir la probabilidad de que los empleados accedan a un sitio web falso o confíen en él.

Para aquellas organizaciones que necesiten una protección más sólida frente a las URL maliciosas y los dominios falsos, Mimecast URL Protection puede ayudar a analizar los enlaces en el momento en que se hace clic en ellos y bloquear el acceso a destinos sospechosos.

¿Cómo puede Mimecast ayudar a protegerse contra el «typosquatting»?

Mimecast ayuda a las organizaciones a protegerse contra el «typosquatting», reduciendo el riesgo de que los usuarios hagan clic en enlaces maliciosos, páginas de phishing, sitios destinados a la recopilación de credenciales y redireccionamientos sospechosos.

Protección de la URL en el momento del clic

La protección de URL de Mimecast permite analizar los enlaces y los archivos adjuntos de los correos electrónicos cuando los usuarios hacen clic en ellos. Esto es importante porque los atacantes pueden enviar enlaces que, en el momento de su recepción, parecen seguros, pero que posteriormente redirigen a un sitio malicioso, una página de phishing, una página de ransomware o un dominio objeto de typosquatting.

Protección en el correo electrónico y las herramientas de colaboración

El «typosquatting» no se da únicamente en el correo electrónico tradicional. Los atacantes pueden insertar enlaces maliciosos en archivos compartidos, conversaciones de Teams, contenido de SharePoint, documentos de OneDrive y otros canales de colaboración; por ello, la protección de enlaces y contenidos debe ir más allá de la bandeja de entrada.

Visibilidad de los riesgos relacionados con el personal y orientación

Mimecast puede relacionar el comportamiento de los usuarios al hacer clic en enlaces con la gestión de riesgos humanos. Si determinados usuarios interactúan repetidamente con direcciones URL de riesgo, los equipos de seguridad pueden identificar patrones, ofrecer orientación, proporcionar estímulos conductuales y centrar la protección en los ámbitos donde el riesgo es mayor.

Fortalecimiento de las medidas de protección contra el «typosquatting»

El «typosquatting» convierte pequeñas diferencias en los nombres de dominio en oportunidades para el phishing, el malware, el fraude y la suplantación de marcas. Una letra que falte, un carácter intercambiado o un dominio de primer nivel engañoso pueden bastar para inducir a error a los usuarios, sustraer credenciales o abrir una vía de acceso a los sistemas de la empresa.

Para evitar el «typosquatting» no basta con pedir a los usuarios que «fijen bien la vista» en los enlaces. Las organizaciones necesitan una protección por capas que abarque la supervisión de dominios, la seguridad del correo electrónico, el filtrado de DNS, la inspección de URL, el aislamiento del navegador, los flujos de trabajo para la retirada de contenidos y la gestión de riesgos humanos. Mimecast ayuda a las organizaciones a reforzar la protección frente a direcciones URL maliciosas, el phishing, la suplantación de identidad y las amenazas dirigidas a personas a través del correo electrónico y los canales de colaboración.