Evitar el phishing con el nombre de dominio propio

Cómo cerrar cada uno de estos tres vectores

Para el primer vector, la respuesta es directa: DMARC en p=reject, precedido de la alineación completa de las fuentes legítimas. El proceso completo está en alcanzar p=reject sin romper el correo legítimo.

Para el segundo, las etiquetas sp y np cubren respectivamente los subdominios existentes e inexistentes — np en particular es una ganancia inmediata, sin ningún riesgo de falso positivo.

Para el tercero, la defensa cambia de naturaleza: puesto que DMARC no puede técnicamente nada contra un dominio diferente, hace falta una vigilancia activa de los nuevos registros parecidos al nombre protegido, acoplada a un registro preventivo de las variantes más evidentes. Varios servicios especializados vigilan de forma continua los nuevos depósitos de dominios y alertan en cuanto una variante sospechosa de la marca aparece — una señal temprana valiosa, a menudo captada antes incluso de la primera campaña de phishing lanzada desde ese dominio, lo que deja tiempo para actuar (requerimiento, notificación al registrador, alerta preventiva a los clientes) antes de que el ataque alcance su objetivo.

El registro preventivo merece un matiz: imposible comprar todas las variantes posibles — las combinaciones de extensiones, guiones y erratas son prácticamente infinitas, y el presupuesto estaría mejor empleado en otro sitio. El enfoque razonable consiste en registrar el puñado de variantes que un atacante elegiría primero (el gemelo .com del .es principal, la versión con guion de un nombre compuesto, la o las dos erratas más naturales) y dejar que la vigilancia cubra el resto. Poseer diez dominios que nunca se usarán no es el objetivo; retirar del menú del atacante las opciones más baratas y creíbles, sí.

El papel de la vigilancia continua

Una protección eficaz contra el phishing en nombre de la marca no es un proyecto puntual sino una vigilancia permanente, por dos razones. Primero, los atacantes prueban regularmente nuevas variantes — un dominio bloqueado hoy no impide el registro de una nueva variante mañana. Después, la propia infraestructura evoluciona: un nuevo subdominio creado por un equipo de marketing, un nuevo proveedor de envío aún no alineado en DKIM, son otras tantas aberturas temporales que no existían en el momento de la última auditoría de seguridad.

Esta vigilancia se construye alrededor de tres flujos que hay que leer regularmente: los informes agregados DMARC (para detectar los intentos sobre el dominio exacto y sus subdominios), un servicio de vigilancia sobre los dominios parecidos (para el tercer vector), y una notificación fácil para los clientes y empleados que detectan un email sospechoso (para captar lo que los dos primeros flujos se pierden).

Lo que se puede comunicar a los clientes

Una medida organizativa completa la defensa técnica: explicar claramente a los clientes cómo comunica realmente la empresa — qué dominios usa para el email, si pide o no información sensible por email, cuál es su política sobre los enlaces en sus comunicaciones. Un cliente que sabe que «nunca pedimos contraseñas por email» detecta inmediatamente un intento de phishing que viola esa regla, independientemente de la sofisticación técnica del ataque — esta regla simple funciona incluso contra un email perfectamente autenticado técnicamente pero malicioso en su contenido, un caso que DMARC no puede cubrir jamás.

Un ejemplo concreto de campaña, descompuesto

Para hacer estos tres vectores tangibles, así es como se combinan a menudo en una campaña real contra una empresa de venta en línea. El atacante empieza probando el vector más simple: un email que dice venir de pedidos@tienda-ejemplo.es, prometiendo un reembolso tras un problema de entrega, con un enlace a una falsa página de pago destinada a recolectar los datos de tarjeta bancaria. Si el dominio no tiene DMARC en aplicación, ese mensaje sale normalmente — ninguna barrera técnica lo detiene, y la campaña puede alcanzar a miles de destinatarios en unas horas antes de ser detectada.

Una vez cerrado ese vector (DMARC en p=reject), el atacante, si persiste, se repliega sobre el segundo vector: prueba subdominios plausibles como reembolso.tienda-ejemplo.es o atencion-cliente.tienda-ejemplo.es, esperando que escapen a la política aplicada sobre el dominio raíz. Sin etiqueta np, este intento puede funcionar, exactamente como si el dominio raíz nunca hubiera estado protegido.

Si los dos primeros vectores están cerrados, el atacante invierte en el tercero, más costoso pero siempre eficaz: registra tienda-ejemplo-es.com o una variante con una letra sustituida, configura sus propios DNS (ninguna obligación de seguridad se aplica a un dominio que controla enteramente), y relanza la misma campaña desde esa nueva base. Es este último peldaño el que solo una vigilancia activa puede detectar a tiempo, a menudo observando el depósito del propio nombre de dominio en los registros públicos, antes incluso del primer envío de email.

Esta progresión ilustra por qué las tres defensas deben pensarse juntas desde el principio, en lugar de añadirse una por una tras cada nueva oleada de ataque — un atacante determinado probará sistemáticamente el vector menos protegido, y no abandonará simplemente porque el primero haya sido cerrado.

El coste de la reputación, más allá del perjuicio financiero directo

Es útil cifrar, aunque sea de forma aproximada, lo que cuesta una campaña de phishing exitosa en nombre de una marca, más allá de las pérdidas financieras directas de las víctimas. Una empresa cuyo nombre ha sido usado en una campaña mediatizada se enfrenta a una bajada mensurable de la confianza del cliente, una necesidad de comunicación de crisis, y a veces preguntas de sus propios socios sobre la solidez de sus prácticas de seguridad, incluso un cuestionamiento de contratos en curso de negociación. Para una empresa cuya actividad reposa sobre la confianza — servicios financieros, e-commerce, sanidad — este impacto reputacional supera ampliamente el coste de puesta en marcha de las defensas descritas aquí, que sigue siendo, para la primera de ellas al menos, enteramente gratuito y rápido de desplegar.

Verificar el punto de partida

Antes de invertir en una vigilancia de dominios parecidos o en procedimientos de comunicación, la primera pregunta sigue siendo la misma que para toda defensa contra la usurpación: ¿está ya el dominio exacto protegido por DMARC en aplicación? Es el vector más dañino y el más simple de cerrar, por tanto la prioridad absoluta antes de tratar los otros dos — inútil invertir en una vigilancia sofisticada sobre los dominios parecidos si la puerta de entrada principal sigue abierta de par en par.

Basta con pasar el dominio por el analizador DMARC gratuito para verificar la configuración actual en unos segundos — política, alineación, cobertura de los subdominios.

En resumen

El phishing que usa el nombre de dominio de una marca es el más dañino para ella, precisamente porque desvía la confianza que esta ha construido con el tiempo. Tres vectores distintos — usurpación directa, subdominios no cubiertos, dominios parecidos realmente registrados — reclaman tres defensas diferentes: DMARC en aplicación, etiquetas sp/np, y vigilancia activa, cada una cerrando una puerta que las otras dos dejan abierta. Tratar los tres juntos, en lugar de detenerse en el primero, es lo que distingue una protección real de una protección parcial que aún deja ángulos abiertos a un atacante paciente y metódico, dispuesto a probar la puerta siguiente.