Podobné domény a typosquatting: ako odhaliť doménu, ktorá sa vydáva za vás

Podobná doména je doménové meno zaregistrované tak, aby na prvý pohľad vyzeralo ako to vaše: examp1e.com namiesto example.com, example-billing.com, example.co alebo verzia, v ktorej je latinské písmeno nahradené podobným znakom z inej abecedy. Typosquatting je jej najstaršia podoba: niekto si zaregistruje doménu, na ktorú sa dostanú vaši zákazníci, keď sa pri písaní tej vašej pomýlia.

Väčšina takých registrácií je neškodná alebo zaparkovaná. Pozornosť si zaslúžia tie, ktoré majú nastavené poštové servery, certifikát TLS alebo webovú stránku kopírujúcu váš dizajn. Práve také domény slúžia na posielanie falošných faktúr vo vašom mene, na falošnú prihlasovaciu stránku alebo na zachytávanie pošty, ktorá mala prísť vám.

Dobrá správa: nájdete ich aj sami niekoľkými príkazmi a na odstránenie tých nebezpečných existuje jasný postup.

Ako vznikajú podobné domény

Útočníci a špekulanti používajú niekoľko predvídateľných vzorov:

• Zámena znakov: 1 za l, 0 za o, rn za m (exarnple.com).
• Vynechanie a zdvojenie: chýbajúce alebo zdvojené písmeno (exmple.com, exaample.com).
• Pridané slová: example-login.com, example-support.com, secure-example.com.
• Iné domény najvyššej úrovne: example.co, example.net, example.io.
• Homoglyfy: internacionalizované doménové mená s cyrilikou alebo gréckymi znakmi, ktoré sa zobrazia takmer ako latinka. V DNS sa objavia ako Punycode so začiatkom xn--.
• Triky so subdoménou: example.com.account-verify.net, kde skutočne zaregistrovaná doména je až časť na konci.

Keďže vzory sú predvídateľné, dajú sa automaticky vygenerovať a preveriť.

Ako si podobné domény overiť sami

Open source nástroj dnstwist vygeneruje obmeny vašej domény a overí, ktoré z nich naozaj existujú. Pri prvom spustení stačí zobraziť len zaregistrované varianty:

dnstwist --registered example.com

Ak chcete vidieť, ktoré z nich ukazujú stránku podobnú vašej, nástroj vie porovnať HTML každého webu s vaším pomocou fuzzy hashovania:

dnstwist --lsh example.com

Pri každej zaregistrovanej podobnej doméne sa pozrite na 3 veci:

1. Poštové záznamy. Podobná doména so záznamami MX dokáže prijímať poštu. Overíte to cez dig MX examp1e.com +short. Práve schopnosť prijímať poštu robí zo zaparkovanej domény nástroj na podvody s faktúrami.
2. Certifikáty. Certifikát vydaný pre podobnú doménu naznačuje, že z nej niekto chce prevádzkovať HTTPS. Vydané certifikáty sa zapisujú do záznamov Certificate Transparency a prehľadať ich môže ktokoľvek na crt.sh. Ako na to, vysvetľuje náš článok o záznamoch Certificate Transparency.
3. Obsah. Otvorte web v izolovanom prehliadači alebo si cez službu na snímky obrazovky pozrite, ako vyzerá. Kópia vášho loga, prihlasovacieho formulára alebo fakturačného portálu je najjasnejší signál.

Kontrolu potom pravidelne opakujte. Podobná doména, ktorú niekto zaregistroval minulý mesiac a dnes je nečinná, môže zajtra dostať poštové záznamy aj prihlasovaciu stránku.

Ktoré zistenia si vyžadujú reakciu

Nie každý variant treba riešiť. Rozumné je rozdeliť ich takto:

• Sledovať: zaregistrovaná, zaparkovaná, bez MX, bez certifikátu. Poznačte si ju a neskôr ju overte znova.
• Preskúmať: má záznamy MX, čerstvý certifikát alebo dátum registrácie z posledných týždňov.
• Konať hneď: stránka napodobňujúca vašu značku, prihlasovací formulár alebo hlásenia od zákazníkov či zamestnancov, ktorým z domény prišla pošta.

Ak podobná doména posiela poštu vo vašom mene, upozornite aj finančné oddelenie a kľúčových zákazníkov, na ktorú doménu si majú dať pozor. Krátka správa („faktúry posielame len z example.com“) zabráni väčšej škode než akékoľvek odstránenie domény.

Ako dosiahnuť odstránenie podobnej domény

Pri aktívnej phishingovej stránke začnite najrýchlejšími cestami:

• Nahláste adresu do Google Safe Browsing a Microsoftu, aby prehliadače začali návštevníkov varovať.
• Nahláste ju registrátorovi domény. Registrátori akreditovaní pri ICANN musia zverejniť kontakt na hlásenie zneužitia a podľa Registrar Accreditation Agreement z roku 2013 (časť 3.18) hlásenia primerane a rýchlo preveriť.
• Nahláste ju aj poskytovateľovi hostingu, ktorého zistíte podľa IP adresy webu.

Pri doméne, ktorá porušuje vašu ochrannú známku, ale nie je zjavne škodlivá, sa pri generických doménach najvyššej úrovne zvyčajne postupuje podľa Uniform Domain Name Dispute Resolution Policy (UDRP). Sťažovateľ musí preukázať, že doména je zhodná alebo zameniteľne podobná so známkou, ku ktorej má práva, že držiteľ k nej nemá práva ani oprávnený záujem a že bola zaregistrovaná a používa sa v zlej viere. Nápravou je zrušenie alebo prevod domény. Ide o právny krok, preto prizvite svojho právnika.

Postup odstránenia podrobnejšie opisuje náš článok o falošných prihlasovacích stránkach s vašou značkou.

Ako znížiť škody vopred

Tomu, aby si niekto podobnú doménu zaregistroval, nezabránite. Môžete ju však pre útočníka urobiť menej užitočnou:

• Zaregistrujte si zjavné varianty hlavnej domény: najčastejšie preklepy a domény najvyššej úrovne, ktoré vaši zákazníci pravdepodobne napíšu.
• Nastavte prísne overovanie pošty na svojej skutočnej doméne. SPF, DKIM a politika DMARC quarantine alebo reject podobnú doménu nezastavia, ale zastavia presné podvrhnutie vašej vlastnej domény, takže útočníkovi ostane len podobná doména. Viac v článku SPF, DKIM a DMARC zrozumiteľne.
• Zaveďte overovanie platieb. Každú zmenu bankového spojenia si potvrďte telefonátom na číslo, ktoré už poznáte, nikdy nie na čísle z mailu.
• Oznámte zákazníkom svoje oficiálne domény na webe aj na faktúrach.

Kontrolný zoznam

• Spustite dnstwist --registered pre každú svoju doménu.
• Pri každom náleze overte záznamy MX, certifikáty na crt.sh a obsah stránky.
• Aktívny phishing nahláste Googlu, Microsoftu, registrátorovi a hostingu.
• Pri zneužití ochrannej známky zvážte s právnikom UDRP.
• Zaregistrujte kľúčové varianty a na skutočnej doméne vynucujte DMARC.
• Hľadanie opakujte pravidelne, jedno spustenie nestačí.

Ako pomáha Datahorses

Datahorses každý deň stráži vašu firmu zvonku. Sleduje aj novo zaregistrované domény podobné vašej: či dokážu prijímať poštu a či sa na niektorej neobjavila stránka napodobňujúca vaše prihlásenie. Do vašich systémov nevstupujeme a žiadne prístupy nepotrebujeme. Keď sa niečo zmení, posúdi to náš špecialista a vy dostanete zistenie s jasnými ďalšími krokmi, ako to opisuje časť čo sa stane, keď niečo nájdeme. Úplný zoznam nájdete v časti čo strážime.