miji.beEl typosquatting es una técnica que consiste en registrar dominios parecidos aprovechando los errores de escritura de dominios famosos y llevar a los usuarios que entran por error a sitios de phishing o a páginas de anuncios. Se han registrado muchos dominios parecidos dirigidos a marcas famosas, y una parte de ellos se usa con fines maliciosos, como el phishing o la distribución de malware. Tanto para quienes gestionan un servicio de URLs cortas como para quienes lo usan, conocer esta técnica facilita elegir las medidas.
Las técnicas típicas se pueden dividir en 4 tipos. El primero es la sustitución de caracteres ("twitter.com" → "twltter.com"), el segundo es el intercambio de posición de caracteres ("amazon.co.jp" → "amzaon.co.jp"), el tercero es la omisión de caracteres ("microsoft.com" → "microsft.com") y el cuarto es el ataque homógrafo (sustituir la "a" de ASCII por la "а" del alfabeto cirílico). El cuarto, el ataque homógrafo, a veces no se puede distinguir en la barra de URL del navegador, y a octubre de 2026 cada navegador muestra una parte de los IDN en Punycode según su propia política.
La defensa del lado de quien gestiona las URLs cortas se centra en la inspección de las URLs en el momento del registro. Hay mecanismos que contrastan las URLs que se registran en URLs cortas con las bases de datos de Google Safe Browsing y PhishTank, y rechazan el propio registro de las que se identifican como phishing. Además, los dominios parecidos al nombre de la marca propia o a nombres de marcas famosas se gestionan con una lista de bloqueo y no con una lista de permitidos, y cuando se detectan se envían a un flujo de revisión.
La defensa del lado de quien usa las URLs cortas en el trabajo tiene dos niveles: la vista previa del destino del enlace y la formación del personal. Además de elegir un servicio de URLs cortas con función de vista previa, el hábito de comprobar el dominio de destino antes de abrir un enlace recibido por correo electrónico o por Slack también sirve como defensa. También existe la opción de combinarlo con funciones que comprueban los enlaces de los correos, como Safe Links de Microsoft Defender for Office 365 a octubre de 2026.
En la defensa del lado de la marca, se supervisan de forma continua los dominios parecidos a los dominios principales de la empresa. En el caso de los dominios en los que se confirma un abuso, se solicita su transferencia conforme a la UDRP (Política Uniforme de Solución de Controversias en materia de Nombres de Dominio). Según las estadísticas del Centro de Arbitraje y Mediación de la OMPI, en muchas de las demandas UDRP gana la parte que presenta la reclamación, y la respuesta legal contra los dominios atacantes es una opción práctica. Al mismo tiempo, existe la opción de dar a conocer al personal y a la clientela el dominio de URLs cortas legítimo de la empresa. También se puede compartir la regla de operación de "no confiar en las indicaciones que lleguen desde dominios de URLs cortas que no sean los del sitio oficial".
La defensa de cada persona se resume en el hábito de no hacer clic de inmediato en un enlace y comprobar primero la parte del dominio de la URL. En el smartphone, al mantener pulsado un enlace aparece una ventana emergente con la URL de destino, así que puedes comprobar el dominio de destino manteniéndolo pulsado. En el PC, la información del certificado se muestra desde el icono del candado de la barra de URL (otro icono según el navegador).
El typosquatting es una técnica clásica, pero con la llegada de la IA generativa también resulta más fácil crear páginas falsas que imitan a las auténticas. La clave de las medidas es combinar la defensa desde cuatro frentes: quien gestiona las URLs cortas, quien las usa, la marca y cada persona usuaria.