Varianty zneužívajú predvídateľné chyby: vynechané alebo zdvojené písmená, transpozície znakov, zlé domény najvyššej úrovne, homoglyfy vykresľujúce sa podobne a verosimilné kombinácie značka-plus-slovo. Zožatá prevádzka siaha od bežného preklepu po cielené spear-phishingové destinácie postavené tak, aby boli od reálnej služby takmer nerozoznateľné.
Obranná práca sa delí medzi menný priestor a používateľa. Organizácie monitorujú registrácie pripomínajúce ich mená a značky, používajú registrátorové a takedown kanály proti zlomyseľným registráciam a chránia prichádzajúcu stranu — filtrovanie DNS, monitorovanie certificate-transparency, e-mailové proti-falšovacie kontroly a povedomie, že adresa, ktorá vyzerá „dostatočne podobne", je útok.
Kľúčové body
Rodiny variantovPreklepy, transpozície, vynechané alebo zdvojené znaky, alternatívne TLD, homoglyfické substitúcie a zložené mená značka-plus-služba.
Obranné pokrytieSledovať registrácie nových domén a záznamy certificate transparency na varianty mien, predregistrovať najzneužívanejšie formy tam, kde je úmerné, a využívať cesty registrátora, UDRP alebo hostingového takedownu.
Prichádzajúca ochranaFiltrovať známe podobné domény vo webových a e-mailových kontrolách, validovať DMARC na otupenie pošty falšujúcej doménu a pristupovať k podobným doménam nesúcim certifikáty ako k signálom vyššieho rizika.
Dôležité obmedzeniePodobná doména nie je automaticky zlomyseľná — existujú legitímne varianty, obranné registrácie a nesúvisiace podniky. Podobnosť registrácie je signál na vyšetrenie a tam, kde je oprávnené, právny proces, nie dôkaz škodlivého zámeru.