Domínios parecidos (typosquatting): como detectar e derrubar

O que é typosquatting?

Typosquatting é a prática de registrar domínios muito parecidos com o de uma empresa conhecida, aproveitando erros de digitação ou semelhanças visuais, para enganar pessoas. O golpista cria um endereço quase idêntico ao original e o usa em sites falsos, e-mails de cobrança, páginas de login clonadas ou lojas fraudulentas.

Para o cliente ou funcionário apressado, suaempresa.com.br e suaempresaa.com.br parecem a mesma coisa. Esse pequeno desvio é o suficiente para que dados e pagamentos acabem nas mãos erradas.

Quais são os tipos mais comuns de domínio parecido?

As técnicas mais frequentes são:

• Erro de digitação: letra duplicada, omitida ou trocada de posição.
• Substituição visual: trocar a letra “o” pelo número “0” ou “l” por “1”, ou usar caracteres de outros alfabetos que se parecem com os latinos (ataque homógrafo, ligado a nomes de domínio internacionalizados).
• Palavras acrescentadas: suaempresa-boletos, suaempresa-suporte, segundavia-suaempresa.
• Troca de extensão: o mesmo nome com outro final, como .com, .net ou extensões novas.
• Subdomínio enganoso: um endereço que coloca o nome da sua marca como parte de outro domínio.

Por que isso é um problema para a empresa?

O dano acontece em frentes diferentes. Clientes podem ser enganados e culpar a marca, o que atinge a reputação. Funcionários podem receber e-mails de “fornecedores” falsos e fazer pagamentos indevidos. Páginas clonadas podem coletar credenciais. E, quando há dados pessoais envolvidos, o assunto pode ter reflexos na LGPD (Lei 13.709/2018).

A autenticação de e-mail ajuda a proteger o seu domínio exato, mas não cobre domínios parecidos. Veja os limites em SPF, DKIM e DMARC.

Como detectar domínios parecidos?

A detecção combina geração de variações e observação contínua de fontes públicas.

1. Geração de variações

Parte-se do seu nome de domínio e de marca e geram-se variações prováveis: erros de digitação, trocas visuais, palavras acrescentadas e outras extensões. Em seguida, verifica-se quais delas estão registradas.

2. Consulta a registros públicos

Informações de registro podem ser consultadas via RDAP (protocolo que substitui o WHOIS tradicional para consulta de dados de registro), quando disponíveis. Dados pessoais costumam estar mascarados, mas datas e servidores de nome já ajudam.

3. Certificate Transparency

Sites que usam HTTPS precisam de certificado, e os certificados emitidos por autoridades públicas são registrados em logs abertos (Certificate Transparency, RFC 6962). Consultar esses logs, por exemplo em serviços como o crt.sh, permite descobrir quando um certificado foi emitido para um nome parecido com o seu, muitas vezes antes de o golpe começar.

4. Observação do conteúdo

Registrar um domínio não é crime por si só. O que muda a classificação é o uso: o site imita a sua identidade visual? Há formulário de login ou de pagamento? Há e-mails saindo desse domínio? Essa análise separa o risco real do homônimo inofensivo.

Como derrubar um domínio fraudulento?

Derrubar significa retirar o conteúdo do ar ou desativar o domínio. Não há botão único, e o caminho depende do caso.

Reúna evidências

Capturas de tela com data e hora, endereço completo, registros técnicos, comparação com o seu site oficial e exemplos de uso fraudulento. Quanto melhor a evidência, mais rápida costuma ser a resposta.

Denuncie nos pontos certos

• Hospedagem: a empresa que mantém o site no ar costuma ter canal de abuso e política contra fraude.
• Registrador: quem registrou o domínio pode suspendê-lo em caso de uso fraudulento comprovado.
• Plataformas e navegadores: é possível reportar o site para listas de bloqueio de phishing, o que reduz o alcance do golpe enquanto a derrubada acontece.
• Procedimentos de disputa: para domínios .br, existem mecanismos específicos de resolução de conflitos no âmbito do registro. Para outras extensões, há procedimentos próprios de cada registro.
• Via jurídica: em casos mais graves ou resistentes, pode ser necessário acionar o Judiciário com apoio de advogado.

Acompanhe até o fim

Sites derrubados podem reaparecer em outro domínio. Por isso a remoção deve ser acompanhada de monitoramento.

O que a empresa pode fazer antes que aconteça?

1. Registrar as variações mais óbvias do domínio e extensões relevantes.
2. Configurar SPF, DKIM e DMARC em p=reject no domínio principal.
3. Monitorar novos registros e certificados parecidos com a marca.
4. Orientar clientes sobre os canais oficiais de cobrança e atendimento.
5. Treinar a equipe com exercícios de phishing simulado.

Esse levantamento começa com fontes públicas, como explicado em O que é OSINT.

Como a livepentest atua nesse tema?

A livepentest é uma operação que combina monitoramento contínuo e remoção de fraudes. A triagem inicial conta com apoio de IA, e analistas certificados revisam cada alerta para separar domínio fraudulento de homônimo inofensivo antes de qualquer denúncia. Veja a metodologia.

Faça o briefing grátis da sua empresa

Em resumo

• Typosquatting é o registro de domínios parecidos com o seu para enganar clientes e funcionários.
• Variações comuns: erro de digitação, troca visual de caracteres, palavras acrescentadas e outras extensões.
• A detecção usa geração de variações, RDAP, logs de Certificate Transparency e análise do conteúdo.
• A derrubada exige evidências e denúncias à hospedagem, ao registrador e a listas de bloqueio, às vezes com apoio jurídico.
• DMARC não resolve o problema: é preciso monitorar continuamente.