Какво е тайпосквотинг (typosquatting) и как фалшивите интернет адреси крадат лични данни?

Какво е тайпосквотинг (typosquatting), как измамниците създават фалшиви сайтове с почти еднакви интернет адреси и как да разпознаем опасния домейн? Понякога една сгрешена буква, добавено тире или заменен символ са достатъчни, за да попаднем на страница, която изглежда като истинска банка, онлайн магазин или социална мрежа. Последиците могат да включват кражба на пароли, банкови данни, дигитална самоличност и финансови средства.

Какво е тайпосквотинг (typosquatting)?

Тайпосквотинг е практика, при която се регистрират интернет домейни, много сходни с адресите на вече съществуващи сайтове, с цел използване на печатни грешки или визуалното сходство между имената.

Терминът произлиза от английските typo – печатна грешка, и squatting – заемане или присвояване на пространство.

Например потребител може да иска да отвори определен онлайн магазин, но случайно да пропусне буква от неговия адрес.

Ако сгрешеният домейн е регистриран от друго лице, той може да попадне на съвсем различен сайт.

Понякога този сайт съдържа само реклами. В други случаи имитира оригиналната страница и се опитва да получи лична информация или да разпространява злонамерен софтуер.

Microsoft определя тайпосквотинга като регистриране на често срещани сгрешени варианти на чужди домейни. Тази практика може да има различни цели, но е особено опасна, когато се използва за фишинг и други киберизмами.

Важно е да уточним, че не всеки домейн, приличащ на друг, непременно е измамен. Самото сходство не доказва престъпно намерение. Рискът възниква, когато подобен адрес се използва за заблуда, неправомерно извличане на данни или друга злоупотреба.

Как работи измамата с почти еднакви интернет адреси?

Представете си, че редовно посещавате сайт за онлайн банкиране.

Обикновено въвеждате адреса директно в браузъра.

Един ден, докато бързате, допускате незначителна печатна грешка.

Вместо действителния сайт се отваря страница, която изглежда почти идентично с него.

Логото е същото. Цветовете са същите. Формулярът за вход изглежда познат.

Въвеждате потребителското си име и паролата.

Но вместо да влезете в банковото си приложение, предоставяте информацията на измамниците.

Те могат да се опитат да използват данните за достъп до действителната услуга или за други злоупотреби.

Това е характерният механизъм на тайпосквотинга, когато се използва за фишинг.

Разликата спрямо обикновеното измамно съобщение е, че понякога потребителят сам достига до фалшивата страница, без изобщо да е получавал подозрителен линк.

Шест начина, по които интернет адресът може да бъде подправен

Измамните домейни могат да бъдат създадени чрез различни промени в изписването.

Следващите адреси са само илюстративни примери с резервирания за документация домейн .example. Те не са реални сайтове, които препоръчваме да посещавате.

1. Пропусната буква

Оригинален примерен домейн:

marketplace.example

Подобен адрес:

marketplce.example

Липсва само една буква.

При бързо четене разликата може да остане незабелязана.

2. Допълнителна буква

Оригинален примерен домейн:

marketplace.example

Променен адрес:

markettplace.example

Добавена е една буква.

Това е характерен вариант, защото при писане на клавиатура потребителите понякога натискат един клавиш два пъти.

3. Разменени букви

Оригинален примерен домейн:

marketplace.example

Променен адрес:

markteplace.example

Две букви са разменили местата си.

Подобна грешка може да възникне при бързо въвеждане на интернет адрес.

4. Заменен символ

Оригинален примерен домейн:

store.example

Променен адрес:

st0re.example

Буквата „o“ е заменена с цифрата „0“.

При определени шрифтове двата символа могат да изглеждат сходно.

5. Добавено тире

Оригинален примерен домейн:

myshop.example

Подобен адрес:

my-shop.example

Този подход използва визуална прилика, но не непременно печатна грешка в тесния смисъл.

Подобни случаи често се разглеждат като разновидности на имитация на домейн.

6. Различно домейн окончание

Официалният сайт може да използва например .com, а друг домейн със същото име да завършва на .net, .org или друго разширение.

Само по себе си различното окончание не доказва измама.

Много компании притежават няколко легитимни домейна.

Но когато потребителят е пренасочен към адрес с неочаквано окончание и от него се искат парола или банкови данни, е необходимо да провери кой действително управлява сайта.

Какво представлява хомоглифна атака (homograph attack)?

Една от по-трудните за разпознаване техники използва символи, които изглеждат почти еднакво, но технически представляват различни знаци.

Тези символи се наричат хомоглифи.

Например латинската буква „a“ и кирилската буква „а“ могат да изглеждат еднакво на екрана, въпреки че са различни Unicode символи.

При определени условия това позволява създаването на визуално сходни интернет адреси.

Тази техника е известна като homograph attack или хомографска атака.

Съвременните браузъри прилагат различни защитни механизми, включително показване на определени международизирани домейни в кодирана форма, започваща с xn--.

Това обаче не означава, че всички визуално подвеждащи адреси могат да бъдат разпознати автоматично.

Затова е особено важно да не се доверяваме само на визуалната прилика на името.

Защо фалшивите сайтове могат да изглеждат напълно истински?

Измамниците могат да копират визуални елементи от действителни интернет страници.

Например логото, цветовете, изображенията, заглавията и формулярите за вход могат да бъдат възпроизведени с голяма точност.

Потребителят може да разпознае дизайна и да реши, че се намира в правилния сайт.

Но дизайнът не доказва собствеността върху домейна.

Дори наличието на катинарче в браузъра не означава, че страницата е легитимна.

HTTPS показва, че връзката между браузъра и съответния сървър е криптирана, но не гарантира, че собственикът на сайта е действителната компания, за която се представя.

Затова трябва да се проверява точният интернет адрес, а не само външният вид.

Как да разберем кой е истинският домейн?

Една от най-важните проверки е да установим действителния регистриран домейн, към който води адресът.

Например:

login.example.com

и

example.com.login-check.example

изглеждат сходно за неопитен потребител, но не са едно и също.

В първия случай login е поддомейн на example.com.

Във втория example.com е само част от по-дълго име, а реалният регистриран домейн е login-check.example.

Това е особено важно при банкови услуги, социални мрежи и онлайн плащания.

Измамниците могат да използват името на популярна организация в началото на адреса, за да създадат впечатление за автентичност.

Но решаващо е кой домейн действително притежава и управлява страницата.

Ако не сте сигурни, най-разумно е да отворите официалния сайт по независим начин.

Каква е разликата между тайпосквотинг, фишинг и спуфинг?

Трите понятия често се използват за свързани атаки, но описват различни механизми.

Тайпосквотинг (typosquatting) – регистриране и използване на интернет адрес, който наподобява друг домейн, често чрез възможни печатни грешки.

Фишинг (phishing) – измамна комуникация, насочена към получаване на поверителни данни или предизвикване на опасно действие.

Спуфинг (spoofing) – подправяне или имитиране на идентификационна информация, например телефонен номер, имейл подател или технически произход.

Тези методи могат да бъдат комбинирани.

Например измамник може да регистрира адрес, който прилича на официалния домейн на банка, и да изпрати имейл с линк към него.

Потребителят отваря фалшивата страница и въвежда данните си.

В тази схема тайпосквотингът осигурява подвеждащия адрес, а фишингът – измамния механизъм за получаване на информация.

Повече за тези заплахи можете да прочетете в „Какво е фишинг (phishing)?“ и „Какво е спуфинг (spoofing) и как се подправят телефонни номера, имейли и сайтове?“.

Как тайпосквотингът застрашава онлайн магазините?

Онлайн търговията е една от областите, в които сходните домейни могат да бъдат използвани за финансови измами.

Представете си, че популярен магазин има собствен сайт и добре разпознаваемо име.

Измамник регистрира много подобен домейн и създава страница със същите продукти, снимки и рекламни предложения.

Потребителите могат да попаднат на фалшивия магазин чрез неправилно въведен адрес, подвеждаща реклама или линк в социалните мрежи.

След това могат да направят поръчка, да платят за продукт, който никога няма да получат, или да предоставят платежни данни на престъпниците.

Така реалният търговец може да бъде засегнат, без самият му сайт да е компрометиран.

Измамният сайт използва сходството на името, за да се възползва от изграденото доверие.

За потребителите е важно да проверяват точния адрес на онлайн магазина, преди да въвеждат платежна информация.

Защо тайпосквотингът е риск за инфлуенсърите?

Инфлуенсърите често използват собствени сайтове, онлайн магазини, платформи за абонаменти и специални страници за рекламни кампании.

Някои изграждат разпознаваеми лични брандове с кратки домейни.

Измамник може да създаде сходен интернет адрес и да го използва за имитация на официална страница на инфлуенсъра.

Например може да се появи фалшива страница за участие в конкурс, получаване на подарък или записване за платено съдържание.

Ако потребителите не забележат разликата, могат да предоставят лични данни или да извършат плащане към измамна услуга.

Това засяга не само пряко пострадалите.

Възможно е да бъде накърнено и доверието към създателя на съдържание, чието име се използва без разрешение.

Тайпосквотингът може да бъде част и от по-широка злоупотреба с дигитална самоличност – използване на чужди снимки, имена и профили за измами.

Как бизнесът може да разпознае фалшив домейн на партньор?

При професионалната кореспонденция опасността може да бъде още по-трудна за забелязване.

Например служител получава имейл от адрес, който прилича на домейна на действителен доставчик.

Съобщението съдържа реална информация за поръчка или договор.

Изисква се потвърждение на документ или промяна на банковата сметка за плащане.

Ако служителят не забележи разликата между двата домейна, може да изпрати информация или да извърши превод към измамника.

Този сценарий може да бъде част от целенасочена атака.

Понякога престъпниците предварително проучват конкретна компания, нейните служители и партньори.

Подобни действия са свързани със спиър фишинг (spear phishing) – персонализирани измами, насочени към конкретни хора и организации.

Затова промени в банкови данни, необичайни финансови искания и нови адреси за кореспонденция трябва да се проверяват по независим канал.

Как да разпознаем фалшив интернет адрес?

Няма универсален признак, който безпогрешно да отличава всеки измамен сайт.

Но няколко проверки могат значително да намалят риска.

Проверете буквите. Търсете пропуснати, добавени или разменени символи.

Обърнете внимание на цифрите. Например „0“ може да замества „o“, а „1“ – „l“.

Проверете домейн окончанието. Не приемайте, че сайт с познато име, но различно окончание, непременно принадлежи на същата организация.

Проверете дали няма допълнителни думи. Думи като secure, login, support или verify могат да бъдат използвани в подвеждащи адреси.

Проверете действителния домейн. Името на известна компания може да присъства само като поддомейн или част от чужд адрес.

Не разчитайте на дизайна. Копирането на лого и визуални елементи е сравнително лесно.

Не разчитайте само на HTTPS. Криптираната връзка не доказва, че сайтът е истински.

При съмнение не въвеждайте пароли, банкови данни или лична информация.

Как да се защитим от тайпосквотинг?

Използвайте запазени адреси

За важни сайтове като банки, електронна поща и социални мрежи е полезно да създадете отметки в браузъра.

Така намалявате вероятността от печатна грешка при всяко посещение.

Отваряйте официалните приложения

Когато услугата предлага собствено приложение, изтеглено от проверен източник, то може да бъде удобна алтернатива на ръчното въвеждане на интернет адрес.

Проверявайте адреса преди вход

Преди да въведете парола, вижте къде действително се намирате.

Това е особено важно при страници, отворени чрез реклами или линкове от съобщения.

Използвайте мениджър на пароли

Надеждният мениджър на пароли може да помогне не само за съхраняване на уникални пароли, но и за разпознаване на правилния домейн.

Когато не предлага автоматично попълване на обичайните данни за вход, това може да бъде сигнал да проверите адреса.

Този признак обаче не е доказателство сам по себе си.

Активирайте многофакторно удостоверяване

Многофакторното удостоверяване може да затрудни злоупотребата с откраднати пароли.

Когато е възможно, предпочитайте passkeys или други устойчиви на фишинг методи.

Поддържайте браузъра актуален

Някои браузъри разполагат със специални функции за откриване на подозрително сходни адреси.

Например Microsoft Edge предлага защита срещу грешки при въвеждане на уебсайтове, известна като Website typo protection.

Тя може да предупреждава за определени адреси, които приличат на известни сайтове.

Нито един автоматичен механизъм обаче не може да гарантира откриването на всички опасни домейни.

Какво да направим, ако сме въвели парола във фалшив сайт?

Ако подозирате, че сте въвели данни в подправена страница, не продължавайте да използвате сайта.

Отворете действителната услуга по независим начин.

Сменете паролата си възможно най-бързо.

Ако сте използвали същата парола и за други профили, сменете я и там.

Проверете активните сесии, свързаните устройства и настройките за възстановяване на достъпа.

Ако фалшивият сайт е поискал разрешения за външно приложение, проверете и свързаните приложения в действителния акаунт.

При признаци за неразрешен достъп използвайте официалните механизми за възстановяване на профила.

Какво да направим, ако сме въвели банкови данни?

Незабавно се свържете с обслужващата банка чрез официалния ѝ телефон или приложение.

Обяснете точно каква информация сте предоставили.

Поискайте оценка на риска и подходящи защитни мерки, включително блокиране на карта, когато е необходимо.

Проверете последните движения по сметката.

Ако сте потвърдили и платежна операция, съобщете това изрично.

Не изчаквайте да забележите финансова загуба, преди да потърсите съдействие.

Може ли фалшив сайт да зарази компютъра?

Да, в определени случаи.

Някои измамни сайтове приканват потребителите да изтеглят фалшиви програми, документи или актуализации.

Тези файлове могат да съдържат злонамерен софтуер.

При други атаки се използват уязвимости в браузъра или системата.

Но самото попадане на подобен адрес не означава автоматично, че устройството е заразено.

Ако не сте въвели данни и не сте инсталирали нищо, рискът често е по-нисък.

При съмнение затворете страницата, проверете актуализациите и използвайте надеждните защитни функции на устройството.

За видовете злонамерен софтуер и действията при заразяване прочетете „Какво е малуер (malware) и как да защитим телефона и компютъра?“.

Как собствениците на сайтове могат да защитят своите домейни?

Тайпосквотингът не е проблем само за потребителите.

Той може да застраши и компании, медии, онлайн магазини, публични личности и други организации с разпознаваеми интернет адреси.

Затова е полезно периодично да се проверява дали съществуват съмнителни сходни домейни, които се представят за официалния сайт.

При установена злоупотреба трябва да се съхранят доказателства за съдържанието и начина на представяне.

В зависимост от обстоятелствата може да се потърси съдействие от регистратора на домейна, хостинг доставчика или съответните органи.

При спор за домейн, който имитира защитена марка, в определени случаи могат да бъдат приложими процедури като UDRP – Единната политика за разрешаване на спорове относно домейн имена.

Но не всяко сходство между два домейна е основание за успешно оспорване.

Необходима е преценка на конкретните права и обстоятелства.

Трябва ли компаниите да регистрират всички подобни домейни?

Не непременно.

Теоретично могат да съществуват много варианти на едно име – с допълнителни букви, пропуснати символи и различни окончания.

Опитът всички да бъдат регистрирани би могъл да бъде скъп и непрактичен.

По-разумно е да се защитят основният домейн и някои очевидни, високорискови варианти, когато това е икономически оправдано.

Паралелно с това компаниите могат ясно да посочват официалния си адрес във всички комуникационни канали.

За електронната поща е важно също да се използват технологии като SPF, DKIM и DMARC, които могат да ограничат определени форми на подправяне на домейна.

Тези мерки не премахват напълно риска от тайпосквотинг, но са част от по-широката защита на дигиталната идентичност на организацията.

Каква е разликата между тайпосквотинг и киберсквотинг?

Киберсквотинг (cybersquatting) е по-широко понятие, което обикновено описва недобросъвестно регистриране или използване на домейн, свързан с чуждо име или търговска марка.

Тайпосквотингът е по-специфична разновидност, насочена към адреси, които приличат на вече съществуващи домейни, често чрез печатни грешки.

Например лице може да регистрира домейн, който възпроизвежда чужда известна марка.

При тайпосквотинга обаче често се използва леко променено изписване на оригиналния адрес.

Понятията могат да се припокриват, но не са напълно идентични.

Важно е също да се разграничават недобросъвестните регистрации от законното използване на сходни думи или имена от независими организации.

Къде да подадем сигнал за измамен интернет адрес?

Ако попаднете на страница, която имитира банка, социална мрежа или друга организация, уведомете действителната компания чрез официалните ѝ контакти.

Можете да използвате и функциите на браузъра за докладване на опасни сайтове.

Ако са предоставени банкови данни, незабавно се свържете с банката.

При данни за престъпление можете да подадете сигнал до полицията или чрез официалния портал за киберпрестъпност на ГДБОП.

Запазете интернет адреса, снимки на екрана и наличната информация за случилото се.

Не е необходимо да отваряте повторно подозрителния сайт, за да събирате допълнителни доказателства, ако това може да ви изложи на риск.

Най-важното правило: проверявайте адреса, преди да се доверите на сайта

Тайпосквотингът използва дребни грешки, които всеки може да допусне.

Една липсваща буква, допълнително тире или заменен символ понякога са достатъчни, за да попаднем на страница, която няма нищо общо с действителната организация.

Но дори сайтът да изглежда професионално и да използва познато лого, това не доказва неговата автентичност.

Най-надеждната защита е съчетание от внимателна проверка на домейна, използване на официални канали, уникални пароли и устойчиви методи за удостоверяване.

В интернет понякога една буква прави разликата между истинския сайт и измамата. Затова преди да въведем парола, банкова информация или лични данни, трябва да сме сигурни не само как изглежда страницата, а кой действително стои зад нейния адрес.