¿Cómo se comprueban las amenazas de dominios lookalike / typosquat?

¿Por qué es una amenaza seria?

Un dominio lookalike no causa daño por sí mismo; el verdadero peligro es lo que se hace con él:

• Fraude de facturas (BEC): un correo de «nuestro IBAN ha cambiado» dirigido a su cliente desde accounts@yourcompany-ltd.com. Es el escenario en el que las pymes de Chipre del Norte y Turquía pierden más dinero.
• Phishing a su personal: un correo de restablecimiento de contraseña firmado por el «departamento de TI», enviado desde un dominio similar.
• Sitio falso / aplicación falsa: una página de inicio de sesión creada con el logotipo de su marca que recopila información de los clientes.
• Reputación: cuando estafan a un cliente, está claro a quién va a responsabilizar.

Este ataque funciona aunque su registro DMARC sea correcto, porque el atacante usa un dominio propio, no el de usted. Por eso la seguridad del correo y la comprobación de lookalikes se complementan; ninguna sustituye a la otra.

¿Qué variantes se generan?

Una buena comprobación prueba las siguientes derivaciones (ejemplos basados en arvenova.ai):

• Errores tipográficos: arvenoa.ai, arvneova.ai, arvenovaa.ai
• Intercambio de caracteres: arvenove.ai, arvenoba.ai
• Homoglifos: arven0va.ai (cero), arvenova con una «а» cirílica intercalada
• Adiciones y omisiones: arvenova-ai.com, arvenovaai.com, arvenova-support.com, my-arvenova.com
• Cambios de extensión: arvenova.com, arvenova.net, arvenova.co, arvenova.com.tr
• Guiones y puntuación: arve-nova.ai, arvenova.a.i

Para cada candidato se plantean dos preguntas: ¿está registrado (resuelve un registro A)? y ¿puede enviar correo (tiene un registro MX)? Un lookalike con registro MX es el que con más probabilidad se ha creado para phishing.

Un ejemplo real: salida de Fjordex

La salida siguiente se obtuvo para arvenova.ai el 24 de octubre de 2026 con la herramienta find_lookalike_domains del connector de Fjordex y no se ha modificado:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

Cómo leerla: se probaron 57 variantes y solo una está registrada. arvenova.com es nuestro propio registro defensivo y redirige a arvenova.ai; has_mx: false indica que no puede enviar correo. La herramienta no puede saberlo, así que califica el hallazgo como «medium» (media) y dice «verifique la propiedad». Es el comportamiento correcto: un hallazgo no es una decisión; la decisión la toma una persona.

Si la misma salida mostrara un dominio con has_mx: true que no le pertenece, se trataría de una situación «high» (alta), y se aplicarían los pasos siguientes.

Qué hacer cuando aparece un hallazgo

1. Verifique la propiedad. El dominio puede ser suyo, de una antigua agencia o de una filial. Consulte el WHOIS y sus propios registros.
2. Reúna pruebas. Capturas de pantalla, registros DNS, el contenido del sitio si lo hay y muestras de los correos enviados. Consérvelas con marca de tiempo.
3. Presente una denuncia de abuso. Notifique la infracción de marca / el phishing al registrador del dominio y al proveedor de hosting. La mayoría de los registradores tienen un formulario de abuso; su certificado de registro de marca agiliza el proceso.
4. Avise a clientes y personal. Un aviso breve y claro: «Solo escribimos desde direcciones @arvenova.ai; confirme siempre por teléfono cualquier cambio de IBAN».
5. Bloquéelo en su servidor de correo. Añada el dominio lookalike a sus reglas de correo entrante para que no pueda llegar a su personal.
6. Registre de forma defensiva. Compre usted mismo las 5-10 variantes más probables (sobre todo .com, .net, .co y la extensión de su país) y rediríjalas a su dominio principal. El coste anual es bajo.
7. Repita la comprobación con regularidad. Cada mes se registran nuevos lookalikes; para eso está la monitorización mensual.

Relación entre la comprobación de lookalikes y DMARC

DMARC impide que se suplante su dominio: un atacante no puede escribir como info@arvenova.ai. Una comprobación de lookalikes hace visibles los ataques con dominios similares: el atacante escribe como info@arvenova.co. La protección completa necesita ambas. La herramienta full_scan de Fjordex ofrece las dos en el mismo informe, y la evaluación de Nivel 1 de ArveNova también incluye ambas comprobaciones.