Dominios y phishing: cómo proteger a tus clientes
Autor: Redacción Domeny.ForSale Publicado Actualizado
En breve: Registrar el dominio principal no basta, porque los estafadores pueden utilizar una dirección similar o falsificar el remitente de un mensaje. La mejor protección combina la seguridad de la cuenta del registrador, una configuración correcta de SPF, DKIM y DMARC, la vigilancia de dominios similares y unas pautas claras de comunicación con los clientes.
Cómo se utilizan los dominios en el phishing
El phishing es un intento de obtener datos, dinero o acceso mediante un mensaje o una página que suplanta a una organización de confianza. El atacante no necesita hacerse con el dominio real de la empresa. Es más habitual que registre una dirección engañosamente parecida, por ejemplo, tutienda-ayuda.pl en lugar de tutienda.pl, o que sustituya una letra por otro carácter.
Un caso particular son los dominios que utilizan caracteres de distintos alfabetos. Algunas letras pueden parecer casi idénticas, aunque el sistema las considere caracteres distintos. Una dirección así puede parecerse al nombre auténtico, sobre todo en una pantalla pequeña.
El candado y el prefijo HTTPS no garantizan que la página sea legítima. Indican, ante todo, que la conexión con ese sitio está cifrada. Un estafador también puede obtener un certificado para un dominio que haya registrado.
Protege tu dominio frente a accesos no autorizados
Que un atacante se haga con el dominio principal es más peligroso que el registro de una dirección similar: le permite redirigir la web, interceptar el correo o cambiar la configuración de los servicios. El acceso al panel del registrador y al sistema DNS debe protegerse con el mismo rigor que el acceso a la banca de la empresa.
El procedimiento básico incluye:
- activar la autenticación multifactor, preferiblemente con una llave de seguridad física o una aplicación, en lugar de depender únicamente de SMS;
- utilizar una contraseña única, guardada en un gestor de contraseñas;
- limitar el número de personas con acceso administrativo;
- activar el bloqueo de transferencias del dominio y las notificaciones de cambios, si el registrador los ofrece;
- guardar los datos de renovación y configurar un método de pago alternativo;
- revisar periódicamente los registros DNS, los contactos y las cuentas autorizadas para realizar cambios.
DNSSEC protege la integridad de las respuestas DNS mediante firmas criptográficas. Ayuda a reducir la falsificación de respuestas del sistema de nombres de dominio, pero no impide registrar direcciones similares ni sustituye las demás medidas de seguridad. Consulta con el registrador y el operador de DNS si DNSSEC está disponible y cómo activarlo.
Reduce la suplantación del correo de la empresa
SPF, DKIM y DMARC son tres mecanismos de autenticación del correo que trabajan conjuntamente. SPF indica qué servidores están autorizados para enviar mensajes en nombre del dominio. DKIM añade una firma que permite al destinatario comprobar si el mensaje ha sido modificado y si lo ha firmado el dominio indicado.
DMARC establece qué debe hacer el servidor del destinatario con un mensaje que no supere las comprobaciones correspondientes y permite recibir informes. Lo mejor es empezar la implantación con un inventario de todos los remitentes legítimos: el correo de la empresa, el boletín, el sistema de facturación, la plataforma de la tienda y la herramienta de gestión de solicitudes.
No conviene aplicar directamente la política más restrictiva sin hacer pruebas. Si se omite algún sistema en el inventario, podrían rechazarse mensajes legítimos. Un enfoque seguro consiste en configurar SPF y DKIM, activar los informes de DMARC, corregir la configuración de las fuentes de envío detectadas y, después, pasar gradualmente a poner los mensajes en cuarentena o rechazarlos.
Estos mecanismos dificultan el envío de correo que muestra una dirección del dominio auténtico como remitente. Sin embargo, no detendrán un mensaje enviado desde un dominio similar, por lo que también hacen falta vigilancia y formación para los clientes.
Vigila las direcciones similares y establece prioridades
No es posible registrar todas las variantes con errores tipográficos en todas las extensiones. Los registros defensivos tienen sentido, sobre todo, para los errores más evidentes, los mercados clave y los nombres directamente relacionados con el inicio de sesión o los pagos. Cada dominio adicional debe renovarse y supervisarse, por lo que una cartera amplia y descuidada puede convertirse en un riesgo por sí misma.
La vigilancia debe abarcar los nuevos dominios similares a la marca, los cambios en los certificados, los resultados de búsqueda y los avisos de los clientes. La similitud del nombre, por sí sola, no demuestra que exista un fraude. La alarma debe surgir cuando haya señales adicionales, como una copia de la página de inicio de sesión, un formulario de pago, el uso del logotipo o mensajes que dirijan a los clientes a la dirección sospechosa.
Si detectas un abuso, conserva las pruebas: la dirección completa de la página, capturas de pantalla, el contenido del mensaje con sus cabeceras y la fecha y hora del incidente. Después puedes comunicarlo al proveedor de alojamiento, al registrador, al proveedor de correo o al del navegador, según el tipo de ataque. Las condiciones y los formularios necesarios varían entre proveedores, así que debes confirmarlos en su documentación oficial.
Enseña a tus clientes a reconocer el canal legítimo
El cliente debe saber desde qué dominio envía mensajes la empresa y en qué dirección se inicia sesión. Los avisos de seguridad deben ser concretos, por ejemplo: «No pedimos contraseñas ni códigos de un solo uso por correo electrónico» e «Inicia el pago después de acceder por tu cuenta a tu cuenta de cliente en nuestro sitio».
Una buena solución es disponer de una dirección fija para comunicar mensajes sospechosos y de unas instrucciones breves que puedan consultarse sin iniciar sesión. Los mensajes sobre pagos o cambios de datos no deben ejercer una presión innecesaria. Una petición inesperada de transferencia a una nueva cuenta bancaria debe confirmarse por un segundo canal, acordado previamente.
El primer paso práctico es una auditoría: revisa la cuenta del registrador, los registros SPF, DKIM y DMARC y la lista de todos los sistemas que envían correo en nombre de la empresa. Solo a partir de esa revisión debes endurecer la política de correo y poner en marcha la vigilancia de dominios similares.
Consulta también: DNSSEC: ¿merece la pena añadir protección al dominio?
Lee también
