Cyberpediapor Brain
PTDEENESFRITNL

Typosquatting e combosquatting

Como um atacante regista um domínio parecido com o de uma marca para roubar as suas credenciais, e como reconhecer o endereço fraudulento.

Em 30 segundos

Onde acontece
Num e-mail, num SMS ou numa mensagem cujo endereço de remetente ou ligação imita uma empresa conhecida. O endereço pode ser muito próximo do verdadeiro, com alguns caracteres alterados ou omitidos2.
O que quer o atacante
Levá-lo a um site falso para recolher informações pessoais, muitas vezes credenciais de acesso4.
O reflexo
Ler o endereço por inteiro, não seguir a ligação recebida para fornecer informações pessoais ou financeiras2, abrir antes o serviço através dos seus favoritos (conselho da Brain) e comunicar a mensagem.
Se já o fez
Avisar as pessoas competentes na organização e alterar sem demora as palavras-passe introduzidas, bem como as de outras contas onde a mesma palavra-passe seja usada2.

Do que se trata

Um nome de domínio é o endereço legível de um site, por exemplo a parte que se segue ao «@» de um e-mail ou que aparece na barra do navegador. Um domínio pode ser comprado e, em certos casos, obtido gratuitamente1. Um atacante escolhe por vezes um domínio parecido com o de uma empresa legítima: letras substituídas por caracteres semelhantes (homóglifos) ou uma extensão diferente, como .co em vez de .com1.

Domínios parecidos com um domínio legítimo podem servir para distribuir cargas maliciosas através de um comprometimento passivo de um site (drive-by compromise)1.

Perguntas diretas

O que é um domínio sósia?

É um nome de domínio registado para se parecer com o de uma organização real. O MITRE ATT&CK descreve domínios semelhantes a domínios legítimos, obtidos com homóglifos ou com outra extensão1. A CISA descreve endereços de remetente muito parecidos com o de uma empresa de boa reputação, com alguns caracteres alterados ou omitidos2.

O que é um homóglifo?

É um caracter que se parece visualmente com outro. O MITRE cita os «IDN homograph attacks»: o atacante usa nomes de domínio internacionalizados e outros alfabetos (cirílico, grego) para criar domínios visualmente semelhantes ao original1. As ligações aparentemente inofensivas que abusam de caracteres especiais para imitar um site legítimo pertencem à mesma técnica3.

Um cadeado no navegador prova que o site é o verdadeiro?

A fonte da CISA citada aqui recomenda procurar um endereço em «https» e um cadeado fechado, sinais de que a informação será cifrada2. Fala de cifragem, não da identidade do site: o mesmo texto pede que verifique também a ortografia do endereço e o domínio2. O cadeado não dispensa, portanto, a leitura do endereço.

Um e-mail com uma ligação sósia pode também instalar software malicioso?

Sim. O MITRE indica que o typosquatting pode servir para entregar cargas maliciosas durante a visita a um site1. A ligação pode também conduzir a uma página que propõe a transferência de um ficheiro3.

O que fazer se penso que cliquei?

Se informações da organização possam ter sido reveladas, a CISA aconselha avisar as pessoas envolvidas, incluindo os administradores de rede, que poderão vigiar atividades invulgares2. As palavras-passe reveladas devem ser alteradas imediatamente2.

1Na pele do atacante1 min

O atacante começa por escolher um nome próximo do alvo. O MITRE descreve várias variantes: homóglifos, outra extensão, alfabetos diferentes1. O grupo EXOTIC LILY, por exemplo, usurpou a identidade de organizações mudando a extensão para «.us», «.co» ou «.biz»1.

Depois compra o domínio. Cada entidade de registo mantém uma base pública que mostra os dados de contacto de cada domínio registado. Serviços de WHOIS privado mostram em seu lugar as suas próprias informações, o que oculta o proprietário. O atacante pode ainda variar os dados de registo e as entidades de registo para dificultar o rastreio da sua infraestrutura1.

Alguns domínios são de utilização única: o MITRE refere que os endereços podem ser gerados dinamicamente para servir conteúdo malicioso a uma única vítima, incluindo com nomes de domínio de utilização única1. Outros atacantes compram domínios expirados, que podem já ser autorizados ou considerados fiáveis pelos defensores, com base no seu historial1.

Resta o próprio site. O site visado pode ser um clone de um portal de início de sessão legítimo, ou parecer-se o bastante para trazer no endereço elementos do site verdadeiro4. A mensagem que o acompanha procura levar ao clique, por vezes com várias mensagens de aspeto urgente4.

2O que vê no ecrã1 min

A mensagem parece vir de um organismo conhecido. A CISA enumera indícios: endereço de remetente próximo de um endereço real, fórmula de tratamento genérica do tipo «Dear Valued Customer», assinatura sem dados de contacto, erros de ortografia e paginação incoerente2.

A ligação é o ponto fraco. Se passar o cursor sobre ela e o endereço apresentado não corresponder ao texto da ligação, esta pode ter sido falsificada. Um site malicioso pode parecer-se com o original, mas o seu endereço usa uma ortografia diferente ou outro domínio, por exemplo .com em vez de .net2. Um serviço de encurtamento de endereços pode também esconder o destino real2.

A página de início de sessão pode ser uma cópia do portal legítimo: as informações introduzidas nos formulários são recolhidas e enviadas ao atacante4. Com certos kits de phishing (EvilProxy, Evilginx2), a vítima é depois redirecionada para o site verdadeiro, e o atacante captura também o cookie de sessão, além do identificador e da palavra-passe4.

A verificação visual tem limites. O MITRE reconhece que os homóglifos, em ASCII como nos domínios internacionalizados, bem como a ofuscação dos endereços, podem dificultar uma verificação manual3. Daí o interesse das ferramentas: os avisos nos e-mails vindos do exterior, os filtros e as funções antiphishing do navegador e do correio eletrónico23.

3Por baixo do capôEquipas de TI1 min

O percurso técnico resume-se a algumas etapas que as fontes descrevem em separado. O atacante adquire um domínio próximo do alvo1. Prepara um site que clona um portal legítimo ou lhe imita o aspeto4. Envia um e-mail com uma ligação acompanhada de um texto que incita a clicar ou a copiar o endereço para o navegador4. O site recolhe então as credenciais, ou propõe a transferência de um ficheiro, consoante o pretexto34.

A ligação pode esconder o destino de outra forma. O MITRE cita o formato de endereço com números inteiros ou hexadecimais como nome de anfitrião, e o facto de o texto colocado antes de um «@» ser ignorado. Segue-se uma ilustração neutralizada deste tipo de endereço, tirada do exemplo do MITRE4:

Excerto
Ilustração (endereço neutralizado):
hxxp://google[.]com@1157586937
[o navegador ignora «google.com» antes do @ e liga-se ao endereço numérico]

Do lado da defesa de uma organização, o MITRE propõe registar voluntariamente domínios próximos dos seus para desencorajar o typosquatting1, vigiar os domínios criados recentemente com uma estrutura semelhante à sua, incluindo sob outra extensão1, e usar SPF, DKIM e DMARC para filtrar mensagens com base na validade do domínio do remetente6.

4AutópsiasCasos reais1 min

As páginas do MITRE dão casos reais sem data de campanha: a data da última modificação de uma página não data o incidente. Os casos abaixo são, por isso, apresentados sem data.

FIN7: uma ligação com typosquatting para uma falsa ferramenta (data não indicada pela fonte)

O MITRE refere que o FIN7 enviou e-mails de spearphishing com uma ligação com typosquatting para «ip-sccanner[.]com»3. O grupo registou também um domínio malicioso, advanced-ip-sccanner[.]com, que redirecionava para uma conta Dropbox controlada pelo atacante e que continha o executável malicioso1.

Magic Hound: domínios escolhidos para vítimas precisas (data não indicada pela fonte)

O Magic Hound registou domínios fraudulentos como «mail-newyorker[.]com» e «news12[.]com.recover-session-service[.]site» para visar vítimas determinadas através de ataques de phishing1.

Scattered Spider e Silent Librarian (data não indicada pela fonte)

O Scattered Spider registou domínios para se fazer passar por portais de início de sessão de empresas1. O Silent Librarian adquiriu domínios para páginas de recolha de credenciais, que muitas vezes se fazem passar pela organização visada, com extensões gratuitas: .TK, .ML, .GA, .CF e .GQ1.

5O que faz1 min
  • Leia o endereço por inteiro, da esquerda para a direita, antes de clicar. Passe o cursor sobre a ligação e compare-a com o texto apresentado2.
  • Não abra o serviço pela ligação recebida: a CISA recomenda não seguir ligações enviadas por e-mail para fornecer informações pessoais ou financeiras2. A Brain aconselha a usar os seus favoritos. A CISA recomenda também confirmar o pedido junto da organização, com dados de contacto encontrados numa troca anterior, e não no site da mensagem2.
  • Ative a autenticação multifator quando existir2.
  • Comunique a mensagem. O NCSC britânico indica que comunicar uma burla é gratuito, demora um minuto e permite proteger outras pessoas5. Pode investigar endereços de e-mail e sites fraudulentos e fazê-los retirar5. Numa empresa, siga primeiro o procedimento interno de comunicação.
6As armadilhas1 min
  • Confiar só no cadeado: ver acima, a fonte fala de cifragem2.
  • Julgar pela paginação: um site pode ser um clone fiel do portal legítimo4.
  • Contar com a vista: os homóglifos tornam difícil uma verificação manual3.
  • Reutilizar uma palavra-passe: se uma palavra-passe introduzida num site falso for usada noutro local, é preciso alterá-la em todo o lado2.
  • Publicar demasiadas informações sobre si: o NCSC refere que os criminosos usam informações disponíveis em linha, incluindo nas redes sociais, para tornar as suas mensagens mais convincentes5.

Ficha

Identificador
CP-015
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
cr-005
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
  1. MITRE ATT&CK, «Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1583/001/ (consultado em 3 de novembro de 2026)
  2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/003/ (consultado em 3 de novembro de 2026)
  5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Typosquatting e combosquatting», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/

BibTeX 
@misc{brain_cp015_pt_2026,
  author = {Brain},
  title = {Typosquatting e combosquatting},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/typosquatting-combosquatting-dominios-sosia/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0