El uso de URLs cortas como tapadera de phishing y malware empezó a crecer a finales de los 2010s. Los emails de phishing que usan URLs cortas para enmascarar el destino siguen siendo uno de los patrones clásicos de acceso inicial. Sin escaneos en registro y en clic, el operador arriesga convertir su marca en parte de la infraestructura de ataque.
El escaneo en el registro combina Google Safe Browsing API, PhishTank, OpenPhish, URLhaus y abuse.ch. Son gratuitos o de bajo coste, suficientemente precisos. Si la URL coincide con clasificación de malware, phishing o software no deseado, rechaza el alta o suspéndela automáticamente. Reescaneo en 24 horas para captar feeds tardíos.
El escaneo en el clic captura URLs que se vuelven maliciosas tras registrarse: el patrón "bait and switch". Inspeccionar HTTP, HTML y cadena de redirección en cada clic es caro, así que muestrea (1 escaneo cada 100 clics) o reescanea solo cuando cambia el hash del destino. La gestión de falsos positivos define la confianza: provee canal público de reporte, compromiso de re-evaluación en 24 horas y status page transparente.
La ejecución en sandbox detecta amenazas más sofisticadas. Abre la URL en navegador virtual, observa JavaScript, cookies y recursos externos, y detecta drive-by downloads o cryptojacking. urlscan.io y Cloudflare Browser Isolation hacen casi todo el trabajo, evitando construirlo todo internamente. Para usuarios finales, vista previa, Microsoft Defender Safe Links y la protección anti-phishing del navegador completan la defensa.