Как проверить угрозу со стороны lookalike / typosquat-доменов?

Почему эта угроза серьёзна?

Сам по себе lookalike-домен вреда не причиняет; настоящая опасность заключается в том, как его используют:

• Мошенничество со счетами (BEC): письмо вашему клиенту «наш IBAN изменился» с адреса accounts@yourcompany-ltd.com. Именно в этом сценарии МСБ Северного Кипра и Турции теряют больше всего денег.
• Фишинг против сотрудников: письмо о сбросе пароля за подписью «IT-отдел», отправленное с похожего домена.
• Поддельный сайт / поддельное приложение: страница входа с логотипом вашего бренда, которая собирает данные клиентов.
• Репутация: когда клиента обманывают, понятно, кого он будет считать виноватым.

Эта атака работает даже при правильно настроенной записи DMARC, потому что злоумышленник использует собственный домен, а не ваш. Поэтому безопасность почты и проверка lookalike-доменов дополняют друг друга; ни одна из них не заменяет другую.

Какие варианты генерируются?

Хорошая проверка перебирает следующие производные (примеры для arvenova.ai):

• Опечатки: arvenoa.ai, arvneova.ai, arvenovaa.ai
• Замена символов: arvenove.ai, arvenoba.ai
• Гомоглифы: arven0va.ai (ноль), arvenova с кириллической «а»
• Добавления и пропуски: arvenova-ai.com, arvenovaai.com, arvenova-support.com, my-arvenova.com
• Смена доменной зоны: arvenova.com, arvenova.net, arvenova.co, arvenova.com.tr
• Дефисы и знаки препинания: arve-nova.ai, arvenova.a.i

Для каждого кандидата задаются два вопроса: зарегистрирован ли он (разрешается ли A-запись) и может ли он отправлять почту (есть ли MX-запись)? Lookalike-домен с MX-записью с наибольшей вероятностью создан для фишинга.

Реальный пример: вывод Fjordex

Приведённый ниже вывод получен для arvenova.ai 24 октября 2026 года с помощью инструмента find_lookalike_domains коннектора Fjordex и не изменялся:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

Как его читать: проверено 57 вариантов, зарегистрирован только один. arvenova.com является нашей собственной защитной регистрацией и перенаправляет на arvenova.ai; has_mx: false показывает, что с него нельзя отправлять почту. Инструмент этого знать не может, поэтому оценивает находку как «medium» (средняя) и советует «Verify ownership» (проверить владельца). Это правильное поведение: находка не является решением; решение принимает человек.

Если бы в том же выводе оказался не принадлежащий вам домен с has_mx: true, это была бы ситуация уровня «high», и тогда нужно действовать по шагам ниже.

Что делать, если обнаружена находка

1. Проверьте владельца. Домен может принадлежать вам, бывшему агентству или дочерней компании. Проверьте WHOIS и собственные записи.
2. Соберите доказательства. Снимки экрана, DNS-записи, содержимое сайта, если оно есть, и образцы отправленных писем. Сохраните их с отметками времени.
3. Подайте жалобу (abuse report). Сообщите о нарушении прав на товарный знак / фишинге регистратору домена и хостинг-провайдеру. У большинства регистраторов есть форма для жалоб; свидетельство о регистрации товарного знака ускоряет процесс.
4. Предупредите клиентов и сотрудников. Короткое и ясное уведомление: «Мы пишем только с адресов @arvenova.ai; всегда подтверждайте изменение IBAN по телефону».
5. Заблокируйте домен на почтовом сервере. Добавьте lookalike-домен в правила входящей почты, чтобы письма с него не доходили до сотрудников.
6. Зарегистрируйте варианты на опережение. Купите сами 5-10 наиболее вероятных вариантов (особенно .com, .net, .co и зону вашей страны) и перенаправьте их на основной домен. Годовые расходы невелики.
7. Повторяйте проверку регулярно. Новые lookalike-домены регистрируются каждый месяц; именно для этого и существует ежемесячный мониторинг.

Как проверка lookalike-доменов связана с DMARC

DMARC защищает от подделки вашего домена: злоумышленник не может писать от имени info@arvenova.ai. Проверка lookalike-доменов делает видимыми атаки с похожих доменов: злоумышленник пишет от имени info@arvenova.co. Для полной защиты нужно и то, и другое. Инструмент Fjordex full_scan выдаёт оба результата в одном отчёте, и оценка ArveNova Уровня 1 также включает обе проверки.