Base de conocimiento

Investigación del remitente y dominios imitadores

Quién es esta persona, en cincuenta palabras, y ¿es el dominio una imitación?

Detalles

Haz clic en el nombre del remitente dentro de un mensaje para lanzar una búsqueda web sobre la persona y el dominio que hay detrás.
El veredicto de la recepción va por encima de la respuesta, porque solo uno de los dos es autoritativo: nuestras propias comprobaciones leen las cabeceras y los enlaces de este mensaje, mientras que la búsqueda es el contexto que un modelo tiene sobre un nombre y nunca ha visto el mensaje.
Los dominios casi idénticos se señalan: paypaI.com con una i mayúscula donde debería ir la l, o paypal-secure.com rellenado para que se lea de más. La prueba es estar a dos ediciones del nombre de marca, o ser el nombre de marca con algo añadido.
La comparación de marcas se hace contra veinte nombres que vale la pena suplantar: paypal, microsoft, apple, dhl, chase y los demás. Una imitación del dominio de tu contable no está en esa lista ni podría estarlo nunca, así que se detecta de otra manera: cualquier dominio que mezcle alfabetos dentro de una sola palabra se señala por sí mismo, sea a quien sea que imite. Mezclar escrituras es la técnica y no el objetivo, y un dominio escrito íntegramente en cirílico o en griego es un dominio normal y se deja en paz.
Los dominios escritos con otro alfabeto se decodifican antes de compararse. pаypal.com con una а cirílica viaja como xn--pypal-4ve.com, que está a diecisiete ediciones de paypal y no coincide con nada, así que el nombre se decodifica de vuelta a lo que vería una persona, las letras imitadoras se pliegan a las latinas que copian y el resultado se compara con la marca. Se pondera por encima de un parecido corriente: una grafía que hubo que ensamblar con dos alfabetos no tiene versión inocente.
Una imitación que pasa DMARC y DKIM por sí misma, lo que no le cuesta nada a un atacante porque es su propio dominio, ve sus señales de identidad descontadas al 45 % de su peso, y 40 se convierte en 18 frente a un umbral de aviso de 30. Algo más del mensaje tiene que dispararse también, y tiene que ser algo que el descuento no toque: un enlace que se lee como un dominio y va a otro supera el listón por sí solo, y un adjunto ejecutable también. Un salto sin autenticar no puede ser ese algo, porque solo se dispara en un dominio que falló DMARC y DKIM, que es lo contrario del que se está descontando, y una sola frase de urgencia tampoco basta: un «your account has been suspended» puntúa diez frente a un umbral de treinta, así que hacen falta dos de ellos más un enlace.