Suplantación de marca y dominios similares: detección y retirada
Los atacantes no necesitan entrar en tu red para hacer daño a tus clientes. Les basta con parecerse a ti. Un dominio que se diferencia del tuyo en una letra, un perfil social con tu logotipo o una app móvil falsa con tu nombre suelen ser suficientes para robar credenciales, desviar pagos o distribuir malware, y el daño recae sobre tu marca.
La suplantación de marca ocurre fuera de tu perímetro, por lo que las herramientas tradicionales de vulnerabilidades y endpoints nunca la ven. En esta guía repasamos las principales técnicas de suplantación, cómo se usan, cómo detectarlas a tiempo y qué hacer cuando encuentras una.
Las principales técnicas de dominios similares
Typosquatting
Registrar dominios que aprovechan errores de tecleo habituales: una letra que falta, una letra duplicada, caracteres intercambiados, una tecla vecina o un dominio de nivel superior distinto. Variaciones de "ejemplo.com" como "ejmeplo.com", "ejemmplo.com" o "ejemplo.co" atrapan a quien teclea mal y resultan creíbles en un vistazo rápido a un enlace de correo.
Homoglifos y suplantación IDN
Los nombres de dominio internacionalizados (IDN) admiten caracteres de muchos alfabetos. Algunos son idénticos o casi idénticos a letras latinas: una "а" cirílica junto a una "a" latina, el dígito "0" en lugar de la letra "o", o "rn" haciéndose pasar por "m". Los navegadores aplican defensas para los casos más engañosos de mezcla de alfabetos, pero algunos se cuelan, sobre todo en clientes de correo, apps de mensajería y pantallas móviles con fuentes pequeñas.
Combosquatting
Añadir palabras a tu marca en lugar de escribirla mal: "ejemplo-login.com", "ejemplo-soporte.net", "pagos-seguros-ejemplo.com". Como la marca está bien escrita, suelen ser más convincentes que los errores tipográficos y se usan a menudo para phishing de credenciales y falsas páginas de soporte.
Trucos con subdominios y rutas
Colocar tu marca en un subdominio o ruta de un dominio controlado por el atacante, por ejemplo "ejemplo.com.verificar-cuenta.site". En el móvil, el usuario puede ver solo el principio de la dirección.
Perfiles sociales, apps y anuncios falsos
La suplantación no se limita a dominios. Cuentas falsas de atención al cliente responden a clientes reales que se quejan en público, perfiles falsos de directivos contactan con empleados, apps clonadas aparecen en tiendas de terceros y anuncios de pago en buscadores pueden llevar a sitios similares por encima de tu resultado legítimo.
Cómo se usa la suplantación
- Phishing de credenciales. Páginas de inicio de sesión clonadas de tu portal de clientes, webmail o SSO, enlazadas desde correos, SMS o anuncios.
- Compromiso del correo corporativo y fraude de facturas. Correos desde un dominio similar pidiendo a un proveedor o cliente que cambie los datos bancarios.
- Estafas de soporte. Falsos servicios de ayuda que recogen datos de tarjetas, códigos de un solo uso o acceso remoto.
- Distribución de malware. Páginas de descarga falsas de tu software o app.
- Daño reputacional. Aunque nadie llegue a ser estafado, los clientes asocian el engaño con tu marca.
Las credenciales robadas así suelen reaparecer en mercados clandestinos, lo que conecta la protección de marca con la monitorización de credenciales filtradas.
Detectar dominios similares a tiempo
Cuanto antes encuentres un dominio similar, menos probable es que ya se haya usado. Una detección eficaz combina varias fuentes:
Registros de dominios nuevos
Genera de forma continua permutaciones de tus marcas (errores tipográficos, homoglifos, combinaciones con palabras como login, seguro, soporte, pago) y compáralas con los dominios recién registrados en muchos TLD. Una coincidencia no es necesariamente maliciosa, pero merece revisión.
Logs de Certificate Transparency
Los certificados TLS de confianza pública se registran en los logs de Certificate Transparency (CT), que cualquiera puede monitorizar. Los atacantes necesitan HTTPS para que sus páginas de phishing parezcan creíbles, así que un certificado nuevo para un nombre similar suele ser una de las primeras señales de que se está preparando un sitio. CT también revela subdominios que contienen tu marca.
Registros DNS y MX
Un dominio similar con registros MX configurados puede enviar y recibir correo, lo que lo convierte en candidato para el fraude por correo corporativo. Un dominio con un registro A apuntando a un servidor web activo, o una página que copia tu logotipo y tu formulario de acceso, está más avanzado. Seguir estos cambios ayuda a separar registros aparcados de amenazas activas.
Contenido web y similitud visual
Descargar la página y compararla con tu sitio legítimo, tu logotipo y tus formularios confirma si el dominio te está suplantando realmente.
Redes sociales, tiendas de apps y fuentes del underground
Busca tu marca y los nombres de tus directivos en redes sociales y tiendas de apps, y vigila foros de hacking y canales de Telegram en busca de kits de phishing o campañas que mencionen a tu empresa. Consulta nuestra visión general sobre monitorización de la dark web.
Triaje: no todo dominio similar es un ataque
Muchos son registros defensivos, negocios no relacionados o dominios aparcados. Prioriza según la evidencia de intención:
- Contenido de phishing activo o página de acceso clonada: actúa de inmediato.
- Registros MX más registro reciente: riesgo alto de fraude por correo; vigila de cerca y avisa a finanzas y soporte.
- Certificado TLS nuevo o servidor web activo, sin contenido aún: vigila los cambios.
- Aparcado, sin actividad DNS: regístralo y revísalo periódicamente.
El proceso de retirada (takedown)
Cuando confirmes el abuso, actúa rápido y documéntalo todo:
- Reúne evidencias: capturas de pantalla, URL completas, datos WHOIS y DNS, detalles del certificado, cabeceras de correo y marcas de tiempo.
- Denuncia ante el proveedor de hosting y el registrador por sus canales de abuso, citando la política concreta que se incumple (phishing, infracción de marca, fraude).
- Notifica a los servicios de navegación segura de los navegadores y a los proveedores de correo para que el sitio quede marcado incluso antes de su retirada.
- Para perfiles sociales y apps, usa el procedimiento de la plataforma para suplantación o infracción de marca.
- En casos persistentes, pueden ser necesarios los procedimientos de resolución de disputas de nombres de dominio y asesoría legal.
- Avisa a los usuarios si los clientes pueden haber sido objetivo, y bloquea el dominio en tus propias pasarelas de correo y web.
Una retirada puede tardar horas o días según el proveedor, y por eso importan tanto la detección temprana y el bloqueo.
DMARC, SPF y DKIM: complemento, no sustituto
La autenticación del correo protege tu dominio exacto. SPF enumera los servidores autorizados a enviar en nombre de tu dominio, DKIM firma los mensajes criptográficamente y DMARC indica a los receptores qué hacer cuando un mensaje no supera esas comprobaciones y te envía informes. Llevar DMARC a una política de aplicación ("quarantine" o "reject") dificulta mucho la suplantación directa de tu dominio.
Lo que DMARC no puede hacer es frenar un dominio similar. Un atacante que posee "ejernplo.com" puede publicar registros SPF, DKIM y DMARC perfectamente válidos. Por eso necesitas ambas cosas: autenticación de correo para tus dominios y monitorización de dominios similares para todo lo demás. Recuerda también publicar registros SPF y DMARC restrictivos en los dominios que posees pero no usas para correo.
Preguntas frecuentes
¿Debo registrar todas las variantes de mi marca? Es imposible registrarlas todas. Registra de forma defensiva las variantes más obvias y los TLD clave, y confía en la monitorización para el resto.
¿Es ilegal un dominio similar? No por sí mismo. Es el abuso, como el phishing o la infracción de marca, lo que te da base para solicitar la retirada.
¿HTTPS significa que un sitio es legítimo? No. Los certificados son fáciles de obtener y los sitios de phishing los usan habitualmente.
Cómo ayuda priorIQ.ai
OnGuardIQ incluye protección de marca que vigila dominios similares y phishing dirigidos a tu organización, junto con búsquedas inteligentes en la deep y dark web, foros de hacking, mercados clandestinos, canales de Telegram y sitios de pegado, credenciales filtradas de tus dominios y resúmenes por IA con alertas priorizadas por relevancia. Tu equipo ve la suplantación junto al resto de tu panorama de amenazas externas.
Esas señales pueden alimentar PriorIQ Core y la vista ejecutiva de BoardIQ, para que el riesgo de marca no se gestione de forma aislada. Solicita una demo.