--- id: CP-015 slug: typosquatting-combosquatting-dominios-gemelos lang: es title: Typosquatting y combosquatting description: Cómo registra un atacante un dominio parecido al de una marca para robar sus credenciales, y cómo reconocer la dirección trampa. canonical_url: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ markdown_url: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Typosquatting y combosquatting», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ it: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting y combosquatting Un nombre de dominio es la dirección legible de un sitio web, por ejemplo la parte que sigue a la «@» de un correo o la que aparece en la barra del navegador. Un dominio se puede comprar y, en algunos casos, obtener gratis [1]. A veces un atacante elige uno parecido al de una empresa legítima: letras sustituidas por caracteres que se les parecen (homoglifos) o una extensión distinta, como .co en lugar de .com [1]. Los dominios parecidos a un dominio legítimo pueden servir para distribuir cargas maliciosas mediante una infección al visitar un sitio web (drive-by compromise) [1]. ## En 30 segundos - Dónde ocurre: en un correo, un SMS o un mensaje cuya dirección de remitente o cuyo enlace imita a una empresa conocida. La dirección puede ser muy parecida a la verdadera, con algunos caracteres cambiados o suprimidos [2]. - Lo que quiere el atacante: llevarle a un sitio falso para obtener datos personales, a menudo credenciales de acceso [4]. - El reflejo: leer la dirección completa, no seguir el enlace recibido para facilitar datos personales o financieros [2], abrir en su lugar el servicio desde sus favoritos (consejo de Brain) y denunciar el mensaje. - Si ya lo ha hecho: avisar a las personas competentes de la organización y cambiar sin demora las contraseñas introducidas, así como las de otras cuentas donde se use la misma contraseña [2]. ## Preguntas directas ### ¿Qué es un dominio gemelo? Es un nombre de dominio registrado para parecerse al de una organización real. MITRE ATT&CK describe dominios similares a dominios legítimos, obtenidos con homoglifos o con otra extensión [1]. CISA describe direcciones de remitente que se parecen mucho a la de una empresa de buena reputación, alterando u omitiendo algunos caracteres [2]. ### ¿Qué es un homoglifo? Es un carácter que se parece visualmente a otro. MITRE cita los «IDN homograph attacks»: el atacante usa nombres de dominio internacionalizados y otros alfabetos (cirílico, griego) para crear dominios visualmente semejantes al original [1]. Los enlaces aparentemente inocuos que abusan de caracteres especiales para imitar un sitio legítimo responden a la misma técnica [3]. ### ¿Demuestra un candado en el navegador que el sitio es el correcto? La fuente de CISA citada aquí recomienda buscar una dirección que empiece por «https» y un candado cerrado, señales de que la información se cifrará [2]. Habla de cifrado, no de la identidad del sitio: el mismo texto pide revisar también la ortografía de la dirección y el dominio [2]. El candado no sustituye, por tanto, a la lectura de la dirección. ### ¿Puede un correo con un enlace gemelo instalar también un programa malicioso? Sí. MITRE indica que el typosquatting puede servir para entregar cargas maliciosas durante la visita a un sitio [1]. El enlace también puede llevar a una página que propone descargar un archivo [3]. ### ¿Qué hago si creo que he hecho clic? Si se ha podido revelar información de la organización, CISA aconseja avisar a las personas afectadas, entre ellas los administradores de red, que podrán vigilar actividades inusuales [2]. Las contraseñas reveladas se cambian de inmediato [2]. ## En la piel del atacante El atacante empieza eligiendo un nombre cercano al de su objetivo. MITRE describe varias variantes: homoglifos, otra extensión, alfabetos distintos [1]. El grupo EXOTIC LILY, por ejemplo, suplantó a organizaciones cambiando la extensión por «.us», «.co» o «.biz» [1]. Después compra el dominio. Cada registrador mantiene una base pública que muestra los datos de contacto de cada dominio registrado. Los servicios de WHOIS privado muestran en su lugar su propia información, lo que oculta al titular. El atacante también puede variar los datos de registro y los registradores para dificultar el seguimiento de su infraestructura [1]. Algunos dominios son de un solo uso: MITRE señala que se pueden generar direcciones de forma dinámica para servir contenido malicioso a una sola víctima, incluso con nombres de dominio de un solo uso [1]. Otros atacantes compran dominios caducados, que pueden estar ya autorizados o ser considerados fiables por los defensores según su historial [1]. Queda el sitio en sí. El sitio objetivo puede ser un clon de un portal de acceso legítimo, o parecerse lo bastante como para llevar en su dirección elementos del sitio verdadero [4]. El mensaje que lo acompaña busca que se haga clic, a veces con varios mensajes de aspecto urgente [4]. ## Lo que ve en la pantalla El mensaje parece venir de un organismo conocido. CISA enumera varios indicios: dirección de remitente próxima a una dirección real, saludo genérico del tipo «Dear Valued Customer», firma sin datos de contacto, faltas de ortografía y maquetación incoherente [2]. El enlace es el punto débil. Si pasa el cursor por encima y la dirección mostrada no coincide con el texto del enlace, puede estar falsificado. Un sitio malicioso puede parecerse al original, pero su dirección usa una ortografía distinta u otro dominio, por ejemplo .com en lugar de .net [2]. Un servicio de acortamiento de direcciones también puede ocultar el destino real [2]. La página de acceso puede ser una copia del portal legítimo: la información introducida en los formularios se recoge y se envía al atacante [4]. Con algunos kits de phishing (EvilProxy, Evilginx2), la víctima es redirigida después al sitio verdadero, y el atacante captura además la cookie de sesión, junto con el usuario y la contraseña [4]. El control visual tiene límites. MITRE reconoce que los homoglifos, tanto en ASCII como en dominios internacionalizados, y la ofuscación de las direcciones pueden dificultar una verificación manual [3]. De ahí el interés de las herramientas: los avisos en los correos procedentes del exterior, los filtros y las funciones antiphishing del navegador y del correo [2][3]. ## Bajo el capó El recorrido técnico se resume en unas pocas etapas que las fuentes describen por separado. El atacante adquiere un dominio cercano al objetivo [1]. Prepara un sitio que clona un portal legítimo o imita su aspecto [4]. Envía un correo con un enlace acompañado de un texto que empuja a hacer clic o a copiar la dirección en el navegador [4]. El sitio recoge entonces las credenciales, o propone descargar un archivo según el pretexto [3][4]. El enlace puede ocultar su destino de otras maneras. MITRE cita el formato de dirección que usa números enteros o hexadecimales como nombre de host, y el hecho de que el texto situado antes de una «@» se ignora. Aquí tiene una ilustración neutralizada de este tipo de dirección, tomada del ejemplo de MITRE [4]: ```text Ilustración (dirección neutralizada): hxxp://google[.]com@1157586937 [el navegador ignora «google.com» antes de la @ y se conecta a la dirección numérica] ``` Por el lado de la defensa de una organización, MITRE propone registrar voluntariamente dominios parecidos a los propios para disuadir el typosquatting [1], vigilar los dominios creados recientemente con una estructura semejante a la propia, también bajo otra extensión [1], y usar SPF, DKIM y DMARC para filtrar los mensajes según la validez del dominio remitente [6]. ## Autopsias Las páginas de MITRE ofrecen casos reales sin fecha de campaña: la fecha de la última modificación de una página no data el incidente. Los casos siguientes se presentan, por tanto, sin fecha. ### FIN7: un enlace con typosquatting hacia una herramienta falsa (fecha no precisada por la fuente) MITRE informa de que FIN7 envió correos de spearphishing con un enlace con typosquatting hacia «ip-sccanner[.]com» [3]. El grupo registró también un dominio malicioso, advanced-ip-sccanner[.]com, que redirigía a un Dropbox controlado por el atacante y que contenía el ejecutable malicioso [1]. ### Magic Hound: dominios elegidos para víctimas concretas (fecha no precisada por la fuente) Magic Hound registró dominios fraudulentos como «mail-newyorker[.]com» y «news12[.]com.recover-session-service[.]site» para atacar mediante phishing a víctimas determinadas [1]. ### Scattered Spider y Silent Librarian (fecha no precisada por la fuente) Scattered Spider registró dominios para suplantar portales de acceso de empresas [1]. Silent Librarian adquirió dominios para páginas de recogida de credenciales, que a menudo suplantan a la organización objetivo, con extensiones gratuitas: .TK, .ML, .GA, .CF y .GQ [1]. ## Lo que usted hace - Lea la dirección completa, de izquierda a derecha, antes de hacer clic. Pase el cursor por el enlace y compárelo con el texto mostrado [2]. - No abra el servicio desde el enlace recibido: CISA recomienda no seguir los enlaces enviados por correo para facilitar información personal o financiera [2]. Brain aconseja usar sus favoritos. CISA recomienda además comprobar la solicitud con la organización usando datos de contacto hallados en un intercambio anterior, no en el sitio del mensaje [2]. - Active la autenticación multifactor cuando exista [2]. - Denuncie el mensaje. El NCSC británico indica que denunciar una estafa es gratis, lleva un minuto y ayuda a proteger a otras personas [5]. Puede investigar direcciones de correo y sitios fraudulentos y conseguir que se retiren [5]. En una empresa, siga primero el procedimiento interno de denuncia. ## Las trampas - Fiarse solo del candado: véase más arriba, la fuente habla de cifrado [2]. - Juzgar por la maquetación: un sitio puede ser un clon fiel del portal legítimo [4]. - Confiar en la vista: los homoglifos dificultan una verificación manual [3]. - Reutilizar una contraseña: si una contraseña introducida en un sitio falso se usa en otro lugar, hay que cambiarla en todas partes [2]. - Publicar demasiada información sobre uno mismo: el NCSC señala que los delincuentes usan información disponible en línea, incluidas las redes sociales, para hacer sus mensajes más convincentes [5]. ## Fuentes 1. MITRE ATT&CK, «Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1583/001/ (consultado el 3 de noviembre de 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultado el 3 de noviembre de 2026) 5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.