Trucos de engaño: typosquatting, homógrafos, subdominios y acortadores

Para montar una campaña de phishing no hace falta romper nada: basta un dominio que a primera vista parezca el correcto. Hay cuatro trucos que se repiten tanto que vale la pena aprender a nombrarlos, porque en un reporte "usa un homógrafo" dice mucho más que "se ve raro".

Typosquatting: el error de dedo

El atacante registra variantes del nombre legítimo con una letra cambiada, omitida, duplicada o con un guion de más.

Legítimo:     bancocafetal.example
Omisión:      bancocafeta.example
Duplicado:    bancocaffetal.example
Sustitución:  bancocafetai.example
Guion:        banco-cafetal.example

El ojo lee palabras completas y completa lo que falta, por eso este truco funciona. Compare letra por letra con la dirección que ya conoce. Y para los sitios que de verdad importan, como el banco o el correo del trabajo, entre siempre desde un marcador guardado, nunca desde un enlace.

Homógrafos y punycode

Algunos alfabetos tienen letras idénticas a las latinas: la а cirílica y la a latina se ven iguales y son caracteres distintos. Para que los dominios internacionales funcionen, el sistema los traduce a una forma ASCII llamada punycode, que siempre empieza con xn--.

Lo que ve la víctima:   bаncocafetal.example
Lo que es en realidad:  xn--bncocafetal-yij.example

Si ve xn-- en una barra de direcciones, en un registro de proxy o en el código fuente de un correo, pare. Copie el dominio y péguelo en un convertidor de punycode para ver su forma real. Los navegadores modernos muestran el xn-- cuando mezcla alfabetos de forma sospechosa, pero no en todos los casos, y los clientes de correo y las aplicaciones de chat son menos cuidadosos.

Subdominios engañosos

El subdominio lo escribe el dueño del dominio, así que el atacante pone el nombre de la víctima a la izquierda:

https://bancocafetal.example.verificacion-sinpe.example/
https://login-bancocafetal-example.alertas.example/

Lea desde la derecha: en los dos casos el dominio registrable es del atacante. En el celular el final de la dirección suele quedar cortado, y lo que se ve es justo la parte que el atacante eligió. Toque la barra y desplácese hasta el final antes de confiar.

Acortadores

Un acortador esconde el destino detrás de un código corto:

https://acortar.example/k8Zp2

No son malos por sí mismos; los usa cualquier campaña de mercadeo. El problema es que le quitan la posibilidad de leer el dominio. Muchos acortadores ofrecen una vista previa del destino desde su propio sitio, y las herramientas de análisis de la lección 4 lo expanden sin que usted visite nada. Lo que no se hace es abrirlo "para ver a dónde lleva".

Póngale nombre

Error tipográfico, homógrafo, subdominio engañoso o acortador. Con el truco nombrado, el reporte al equipo de seguridad se escribe solo y la persona que preguntó entiende por qué no debía abrirlo.