تهدید دامنه‌های lookalike / typosquat را چگونه بررسی کنیم؟

چرا این تهدید جدی است؟

دامنه lookalike به‌خودی‌خود آسیبی نمی‌زند؛ خطر واقعی کاری است که با آن انجام می‌شود:

• کلاهبرداری فاکتور (BEC): ایمیلی با مضمون «IBAN ما تغییر کرده است» از accounts@yourcompany-ltd.com به مشتری شما. این سناریویی است که شرکت‌های کوچک و متوسط در قبرس شمالی و ترکیه بیشترین پول را در آن از دست می‌دهند.
• فیشینگ علیه کارکنان: ایمیل بازنشانی رمز عبور با امضای «واحد IT» که از یک دامنه مشابه فرستاده می‌شود.
• سایت جعلی / اپلیکیشن جعلی: صفحه ورودی که با لوگوی برند شما ساخته شده و اطلاعات مشتریان را جمع‌آوری می‌کند.
• اعتبار: وقتی مشتری فریب می‌خورد، روشن است چه کسی را مسئول خواهد دانست.

این حمله حتی اگر رکورد DMARC شما درست باشد هم کار می‌کند، زیرا مهاجم از دامنه خودش استفاده می‌کند نه دامنه شما. به همین دلیل امنیت ایمیل و بررسی lookalike مکمل یکدیگرند؛ هیچ‌یک جایگزین دیگری نیست.

کدام گونه‌ها تولید می‌شوند؟

یک بررسی خوب مشتقات زیر را امتحان می‌کند (نمونه‌ها بر پایه arvenova.ai):

• غلط‌های تایپی: arvenoa.ai، arvneova.ai، arvenovaa.ai
• جابه‌جایی نویسه: arvenove.ai، arvenoba.ai
• هموگلیف‌ها: arven0va.ai (صفر)، arvenova آمیخته با «а» سیریلیک
• افزودن و حذف: arvenova-ai.com، arvenovaai.com، arvenova-support.com، my-arvenova.com
• تغییر پسوند: arvenova.com، arvenova.net، arvenova.co، arvenova.com.tr
• خط تیره و نقطه‌گذاری: arve-nova.ai، arvenova.a.i

برای هر نامزد دو پرسش مطرح می‌شود: آیا ثبت شده است (آیا رکورد A دارد)، و آیا می‌تواند ایمیل بفرستد (آیا رکورد MX دارد)؟ دامنه lookalike دارای رکورد MX محتمل‌ترین گزینه برای راه‌اندازی فیشینگ است.

یک نمونه واقعی: خروجی Fjordex

خروجی زیر در 24 اکتبر 2026 با ابزار find_lookalike_domains کانکتور Fjordex برای arvenova.ai گرفته شده و هیچ تغییری در آن داده نشده است:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

نحوه خواندن: 57 گونه آزمایش شد و فقط یکی ثبت شده است. arvenova.com ثبت دفاعی خود ماست و به arvenova.ai هدایت می‌شود؛ has_mx: false نشان می‌دهد که نمی‌تواند ایمیل بفرستد. ابزار نمی‌تواند این را بداند، بنابراین یافته را «medium» ارزیابی می‌کند و می‌گوید «مالکیت را بررسی کنید». این رفتار درستی است: یافته تصمیم نیست؛ تصمیم را انسان می‌گیرد.

اگر همین خروجی دامنه‌ای با has_mx: true نشان می‌داد که متعلق به شما نیست، وضعیت «high» بود و گام‌های زیر باید اجرا شوند.

وقتی یافته‌ای پیدا شد چه باید کرد

1. مالکیت را بررسی کنید. دامنه ممکن است متعلق به خودتان، یک آژانس پیشین یا یک شرکت تابعه باشد. WHOIS و سوابق خودتان را بررسی کنید.
2. شواهد جمع‌آوری کنید. تصاویر صفحه، رکوردهای DNS، محتوای سایت در صورت وجود و نمونه ایمیل‌های فرستاده‌شده. آن‌ها را همراه با مهر زمانی نگه دارید.
3. گزارش abuse ثبت کنید. نقض علامت تجاری / فیشینگ را به ثبت‌کننده (registrar) دامنه و به ارائه‌دهنده میزبانی گزارش دهید. بیشتر ثبت‌کننده‌ها فرم abuse دارند؛ گواهی ثبت علامت تجاری شما روند را سرعت می‌بخشد.
4. به مشتریان و کارکنان هشدار دهید. یک اطلاعیه کوتاه و روشن: «ما فقط از نشانی‌های @arvenova.ai مکاتبه می‌کنیم؛ تغییر IBAN را همیشه تلفنی تأیید کنید.»
5. آن را در سرور ایمیل خود مسدود کنید. دامنه lookalike را به قواعد ایمیل ورودی اضافه کنید تا به کارکنان شما نرسد.
6. ثبت دفاعی انجام دهید. 5-10 گونه محتمل‌تر را خودتان بخرید (به‌ویژه .com، .net، .co و پسوند کشورتان) و آن‌ها را به دامنه اصلی هدایت کنید. هزینه سالانه آن کم است.
7. به‌طور منظم تکرار کنید. هر ماه دامنه‌های lookalike جدیدی ثبت می‌شوند؛ پایش ماهانه برای همین است.

ارتباط بررسی lookalike با DMARC

DMARC از جعل دامنه شما جلوگیری می‌کند: مهاجم نمی‌تواند با نشانی info@arvenova.ai ایمیل بفرستد. بررسی lookalike حملات با دامنه‌های مشابه را آشکار می‌کند: مهاجم با نشانی info@arvenova.co ایمیل می‌فرستد. حفاظت کامل به هر دو نیاز دارد. ابزار full_scan در Fjordex هر دو را در یک گزارش ارائه می‌دهد و ارزیابی سطح ۱ ArveNova نیز هر دو بررسی را در بر دارد.