--- id: CP-015 slug: typosquatting-combosquatting-dominios-sosia lang: pt title: Typosquatting e combosquatting description: Como um atacante regista um domínio parecido com o de uma marca para roubar as suas credenciais, e como reconhecer o endereço fraudulento. canonical_url: https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Typosquatting e combosquatting», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ it: https://startbrain.io/cyberpedia/it/articles/typosquatting-combosquatting-domini-sosia/ nl: https://startbrain.io/cyberpedia/nl/articles/typosquatting-combosquatting-lookalike-domeinen/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting e combosquatting Um nome de domínio é o endereço legível de um site, por exemplo a parte que se segue ao «@» de um e-mail ou que aparece na barra do navegador. Um domínio pode ser comprado e, em certos casos, obtido gratuitamente [1]. Um atacante escolhe por vezes um domínio parecido com o de uma empresa legítima: letras substituídas por caracteres semelhantes (homóglifos) ou uma extensão diferente, como .co em vez de .com [1]. Domínios parecidos com um domínio legítimo podem servir para distribuir cargas maliciosas através de um comprometimento passivo de um site (drive-by compromise) [1]. ## Em 30 segundos - Onde acontece: num e-mail, num SMS ou numa mensagem cujo endereço de remetente ou ligação imita uma empresa conhecida. O endereço pode ser muito próximo do verdadeiro, com alguns caracteres alterados ou omitidos [2]. - O que quer o atacante: levá-lo a um site falso para recolher informações pessoais, muitas vezes credenciais de acesso [4]. - O reflexo: ler o endereço por inteiro, não seguir a ligação recebida para fornecer informações pessoais ou financeiras [2], abrir antes o serviço através dos seus favoritos (conselho da Brain) e comunicar a mensagem. - Se já o fez: avisar as pessoas competentes na organização e alterar sem demora as palavras-passe introduzidas, bem como as de outras contas onde a mesma palavra-passe seja usada [2]. ## Perguntas diretas ### O que é um domínio sósia? É um nome de domínio registado para se parecer com o de uma organização real. O MITRE ATT&CK descreve domínios semelhantes a domínios legítimos, obtidos com homóglifos ou com outra extensão [1]. A CISA descreve endereços de remetente muito parecidos com o de uma empresa de boa reputação, com alguns caracteres alterados ou omitidos [2]. ### O que é um homóglifo? É um caracter que se parece visualmente com outro. O MITRE cita os «IDN homograph attacks»: o atacante usa nomes de domínio internacionalizados e outros alfabetos (cirílico, grego) para criar domínios visualmente semelhantes ao original [1]. As ligações aparentemente inofensivas que abusam de caracteres especiais para imitar um site legítimo pertencem à mesma técnica [3]. ### Um cadeado no navegador prova que o site é o verdadeiro? A fonte da CISA citada aqui recomenda procurar um endereço em «https» e um cadeado fechado, sinais de que a informação será cifrada [2]. Fala de cifragem, não da identidade do site: o mesmo texto pede que verifique também a ortografia do endereço e o domínio [2]. O cadeado não dispensa, portanto, a leitura do endereço. ### Um e-mail com uma ligação sósia pode também instalar software malicioso? Sim. O MITRE indica que o typosquatting pode servir para entregar cargas maliciosas durante a visita a um site [1]. A ligação pode também conduzir a uma página que propõe a transferência de um ficheiro [3]. ### O que fazer se penso que cliquei? Se informações da organização possam ter sido reveladas, a CISA aconselha avisar as pessoas envolvidas, incluindo os administradores de rede, que poderão vigiar atividades invulgares [2]. As palavras-passe reveladas devem ser alteradas imediatamente [2]. ## Na pele do atacante O atacante começa por escolher um nome próximo do alvo. O MITRE descreve várias variantes: homóglifos, outra extensão, alfabetos diferentes [1]. O grupo EXOTIC LILY, por exemplo, usurpou a identidade de organizações mudando a extensão para «.us», «.co» ou «.biz» [1]. Depois compra o domínio. Cada entidade de registo mantém uma base pública que mostra os dados de contacto de cada domínio registado. Serviços de WHOIS privado mostram em seu lugar as suas próprias informações, o que oculta o proprietário. O atacante pode ainda variar os dados de registo e as entidades de registo para dificultar o rastreio da sua infraestrutura [1]. Alguns domínios são de utilização única: o MITRE refere que os endereços podem ser gerados dinamicamente para servir conteúdo malicioso a uma única vítima, incluindo com nomes de domínio de utilização única [1]. Outros atacantes compram domínios expirados, que podem já ser autorizados ou considerados fiáveis pelos defensores, com base no seu historial [1]. Resta o próprio site. O site visado pode ser um clone de um portal de início de sessão legítimo, ou parecer-se o bastante para trazer no endereço elementos do site verdadeiro [4]. A mensagem que o acompanha procura levar ao clique, por vezes com várias mensagens de aspeto urgente [4]. ## O que vê no ecrã A mensagem parece vir de um organismo conhecido. A CISA enumera indícios: endereço de remetente próximo de um endereço real, fórmula de tratamento genérica do tipo «Dear Valued Customer», assinatura sem dados de contacto, erros de ortografia e paginação incoerente [2]. A ligação é o ponto fraco. Se passar o cursor sobre ela e o endereço apresentado não corresponder ao texto da ligação, esta pode ter sido falsificada. Um site malicioso pode parecer-se com o original, mas o seu endereço usa uma ortografia diferente ou outro domínio, por exemplo .com em vez de .net [2]. Um serviço de encurtamento de endereços pode também esconder o destino real [2]. A página de início de sessão pode ser uma cópia do portal legítimo: as informações introduzidas nos formulários são recolhidas e enviadas ao atacante [4]. Com certos kits de phishing (EvilProxy, Evilginx2), a vítima é depois redirecionada para o site verdadeiro, e o atacante captura também o cookie de sessão, além do identificador e da palavra-passe [4]. A verificação visual tem limites. O MITRE reconhece que os homóglifos, em ASCII como nos domínios internacionalizados, bem como a ofuscação dos endereços, podem dificultar uma verificação manual [3]. Daí o interesse das ferramentas: os avisos nos e-mails vindos do exterior, os filtros e as funções antiphishing do navegador e do correio eletrónico [2][3]. ## Por baixo do capô O percurso técnico resume-se a algumas etapas que as fontes descrevem em separado. O atacante adquire um domínio próximo do alvo [1]. Prepara um site que clona um portal legítimo ou lhe imita o aspeto [4]. Envia um e-mail com uma ligação acompanhada de um texto que incita a clicar ou a copiar o endereço para o navegador [4]. O site recolhe então as credenciais, ou propõe a transferência de um ficheiro, consoante o pretexto [3][4]. A ligação pode esconder o destino de outra forma. O MITRE cita o formato de endereço com números inteiros ou hexadecimais como nome de anfitrião, e o facto de o texto colocado antes de um «@» ser ignorado. Segue-se uma ilustração neutralizada deste tipo de endereço, tirada do exemplo do MITRE [4]: ```text Ilustração (endereço neutralizado): hxxp://google[.]com@1157586937 [o navegador ignora «google.com» antes do @ e liga-se ao endereço numérico] ``` Do lado da defesa de uma organização, o MITRE propõe registar voluntariamente domínios próximos dos seus para desencorajar o typosquatting [1], vigiar os domínios criados recentemente com uma estrutura semelhante à sua, incluindo sob outra extensão [1], e usar SPF, DKIM e DMARC para filtrar mensagens com base na validade do domínio do remetente [6]. ## Autópsias As páginas do MITRE dão casos reais sem data de campanha: a data da última modificação de uma página não data o incidente. Os casos abaixo são, por isso, apresentados sem data. ### FIN7: uma ligação com typosquatting para uma falsa ferramenta (data não indicada pela fonte) O MITRE refere que o FIN7 enviou e-mails de spearphishing com uma ligação com typosquatting para «ip-sccanner[.]com» [3]. O grupo registou também um domínio malicioso, advanced-ip-sccanner[.]com, que redirecionava para uma conta Dropbox controlada pelo atacante e que continha o executável malicioso [1]. ### Magic Hound: domínios escolhidos para vítimas precisas (data não indicada pela fonte) O Magic Hound registou domínios fraudulentos como «mail-newyorker[.]com» e «news12[.]com.recover-session-service[.]site» para visar vítimas determinadas através de ataques de phishing [1]. ### Scattered Spider e Silent Librarian (data não indicada pela fonte) O Scattered Spider registou domínios para se fazer passar por portais de início de sessão de empresas [1]. O Silent Librarian adquiriu domínios para páginas de recolha de credenciais, que muitas vezes se fazem passar pela organização visada, com extensões gratuitas: .TK, .ML, .GA, .CF e .GQ [1]. ## O que faz - Leia o endereço por inteiro, da esquerda para a direita, antes de clicar. Passe o cursor sobre a ligação e compare-a com o texto apresentado [2]. - Não abra o serviço pela ligação recebida: a CISA recomenda não seguir ligações enviadas por e-mail para fornecer informações pessoais ou financeiras [2]. A Brain aconselha a usar os seus favoritos. A CISA recomenda também confirmar o pedido junto da organização, com dados de contacto encontrados numa troca anterior, e não no site da mensagem [2]. - Ative a autenticação multifator quando existir [2]. - Comunique a mensagem. O NCSC britânico indica que comunicar uma burla é gratuito, demora um minuto e permite proteger outras pessoas [5]. Pode investigar endereços de e-mail e sites fraudulentos e fazê-los retirar [5]. Numa empresa, siga primeiro o procedimento interno de comunicação. ## As armadilhas - Confiar só no cadeado: ver acima, a fonte fala de cifragem [2]. - Julgar pela paginação: um site pode ser um clone fiel do portal legítimo [4]. - Contar com a vista: os homóglifos tornam difícil uma verificação manual [3]. - Reutilizar uma palavra-passe: se uma palavra-passe introduzida num site falso for usada noutro local, é preciso alterá-la em todo o lado [2]. - Publicar demasiadas informações sobre si: o NCSC refere que os criminosos usam informações disponíveis em linha, incluindo nas redes sociais, para tornar as suas mensagens mais convincentes [5]. ## Fontes 1. MITRE ATT&CK, «Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1583/001/ (consultado em 3 de novembro de 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultado em 3 de novembro de 2026) 5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.