Casos conocidos de typosquatting y sus riesgos
Autor: Redacción Domeny.ForSale Publicado
En resumen: El typosquatting consiste en registrar direcciones parecidas al dominio correcto para aprovechar un error de escritura o un descuido del internauta. Entre los casos conocidos figuran los relacionados con las marcas Verizon y Microsoft, así como con el tráfico desviado por John Zuccarini. Estos dominios se utilizaban para mostrar anuncios, redirigir visitas, obtener datos mediante engaños o dificultar que el usuario abandonara la página.
En qué consiste exactamente el typosquatting
El typosquatting es una variante del cybersquatting, es decir, del uso de dominios vinculados al nombre o la marca comercial de un tercero. Su rasgo característico es un error que el usuario puede cometer al escribir la dirección: omitir una letra, sustituir un carácter, alterar el orden de los caracteres o añadir uno.
Si la dirección correcta fuera el dominio de ejemplo bancoseguro.pl, un atacante podría interesarse por variantes como bacnoseguro.pl o banco-seguro.pl. La primera aprovecha una inversión de letras; la segunda no es un error de escritura en sentido estricto, pero puede cumplir la misma función: parecer creíble a primera vista.
No todo dominio parecido es automáticamente ilícito. Importan, entre otros factores, el uso que se le dé, el riesgo de confusión, los derechos sobre el nombre y la intención de quien lo registra. Evaluar un caso concreto puede requerir analizar las normas del registro, los procedimientos de resolución de controversias y la legislación aplicable.
John Zuccarini y la captación masiva de tráfico mediante errores de escritura
Uno de los responsables de typosquatting más conocidos fue John Zuccarini. Registraba numerosos dominios que aprovechaban errores en los nombres de sitios populares y marcas. Quien se equivocaba al escribir una dirección llegaba a sitios que obtenían ingresos mediante anuncios o redirecciones; algunos también llevaban a contenido pornográfico.
Su actividad se asocia con un mecanismo llamado mousetrapping, literalmente «atrapar al ratón». Consistía en abrir sucesivas ventanas del navegador o dificultar la salida del sitio, de modo que una visita accidental generaba más visualizaciones de anuncios. Las autoridades y los tribunales estadounidenses se ocuparon de los casos de Zuccarini, y su nombre se convirtió en un ejemplo de explotación comercial de dominios con errores de escritura registrados de forma masiva.
Este caso muestra que el typosquatting no implica necesariamente el robo de una contraseña. El propio tráfico de usuarios que llegan por error puede tener valor si el titular del dominio monetiza cada visita.
Verizon contra OnlineNIC
La sonada disputa entre Verizon y el registrador OnlineNIC afectaba a cientos de direcciones similares a las marcas comerciales de la empresa estadounidense de telecomunicaciones. Entre ellas había variantes con errores de escritura en el nombre Verizon. Los dominios dirigían el tráfico a páginas con anuncios y enlaces comerciales.
Un tribunal estadounidense dictó sentencia en rebeldía a favor de Verizon y concedió una elevada indemnización prevista por la ley. Este caso se cita con frecuencia porque no se trataba de una única dirección aislada, sino de una cartera organizada de dominios que obtenían ingresos gracias a su parecido con una marca protegida.
También muestra la diferencia entre el registro defensivo y el typosquatting. Una empresa puede comprar las variantes con los errores de escritura más evidentes de su propio dominio y redirigirlas al sitio correcto. Un tercero que registra esas mismas variantes para beneficiarse de las equivocaciones de los clientes persigue un objetivo muy distinto.
El caso de Microsoft contra Shah
Microsoft emprendió acciones contra Amar Shah y entidades vinculadas a él por dominios que se parecían a los nombres de sus productos y servicios. Las acusaciones incluían el registro de variantes mal escritas y la redirección de usuarios a páginas con anuncios. La disputa terminó con un acuerdo que incluía un pago y la transferencia de los dominios.
Lo relevante era el patrón de actuación reiterado: numerosas direcciones similares, aprovechamiento del reconocimiento de la marca y monetización de las visitas que llegaban por error. Un único error de escritura puede parecer inofensivo, pero toda una red de estos dominios permite captar tráfico destinado a distintos productos o servicios de una misma empresa.
Errores de escritura, homógrafos y extensiones engañosas
No todos los dominios trampa constituyen typosquatting clásico. Un ataque homográfico utiliza caracteres que se parecen visualmente, aunque son distintos; por ejemplo, la letra latina a y su equivalente de otro alfabeto. Por su parte, sustituir una extensión, como .com, por otra se describe a veces como confusión de TLD o suplantación mediante un dominio similar.
Para el usuario, la distinción terminológica importa menos que el resultado. Antes de iniciar sesión o realizar un pago, conviene comprobar la dirección completa, no solo el nombre que aparece al principio. Es más seguro acceder al banco, a una tienda o al panel de una empresa desde un marcador que escribir el dominio manualmente o utilizar un enlace recibido en un mensaje.
Cómo reducir el riesgo para ambas partes
El titular de la marca debería identificar primero algunos de los errores más probables: omitir una letra, duplicar un carácter, invertir letras contiguas o usar una extensión incorrecta. Registrar todas las variantes posibles no suele ser viable, por lo que deben tener prioridad las direcciones relacionadas con el inicio de sesión, los pagos y la atención al cliente. También resulta útil vigilar los nuevos dominios parecidos al nombre de la empresa.
Tras detectar una dirección sospechosa, hay que conservar pruebas de su uso, identificar al operador y comprobar qué procedimiento de resolución de controversias corresponde. Según la extensión y las circunstancias, puede tratarse de una denuncia de abuso, un procedimiento arbitral como UDRP o una acción judicial. Esta es información general, no asesoramiento jurídico individualizado; las normas vigentes y las pruebas exigidas deben confirmarse con el operador del registro, el proveedor del procedimiento o un abogado.
El siguiente paso práctico es sencillo: guarda los sitios más importantes en tus marcadores y, en la empresa, comprueba hoy algunas de las variantes con los errores más evidentes del dominio utilizado para el correo y los pagos.
Véase también: Dominios y phishing: ¿cómo proteger a los clientes frente a la suplantación?
Lee también
