Visión general
El verificador de dominios similares de PowerDMARC asigna una puntuación de riesgo del 0 al 100 % a cada dominio similar que detecta. Esta puntuación representa la probabilidad general de que un dominio suponga una amenaza de phishing, suplantación de identidad o abuso de marca para su organización.
Cada puntuación se corresponde con una etiqueta de riesgo clara:
Riesgo bajo: 0–29%
Riesgo medio: 30–69%
Alto riesgo: 70–100%
¿Qué elementos componen la puntuación?
La puntuación de riesgo se calcula a partir de cuatro atributos, cada uno con un peso específico:
Cómo se evalúa cada atributo
Estado del dominio (20%)
El estado de registro de un dominio similar es una clara señal de intención. Un dominio que ha sido registrado activamente tiene más probabilidades de ser utilizado con fines maliciosos que uno que simplemente existe .
Registrado : el dominio tiene registros DNS activos y pertenece a alguien. Esto recibe el peso completo (100% del 20%).
En estado de estacionamiento : el dominio está registrado, pero no muestra una infraestructura de correo significativa (no hay registro MX y SPF está configurado como v=spf1 -all ). Esto recibe la mitad del peso (50% del 20%).
No registrado : El dominio no se resuelve y no tiene presencia en DNS. Esto no contribuye en nada a la puntuación (0%).
Tipo de ataque (20%)
Las distintas técnicas de mutación conllevan diferentes niveles de riesgo en función de su grado de engaño y de la frecuencia con la que aparecen en campañas de phishing reales.
Homógrafo (IDN) : utiliza caracteres Unicode visualmente idénticos (por ejemplo, la letra cirílica "а" en lugar de la latina "a"). Este es el tipo de ataque más engañoso y recibe la ponderación completa (100% del 20%).
Typosquatting : explota errores comunes de escritura relacionados con el teclado (por ejemplo, "gogle.com"). Recibe el 70% del peso.
Todos los demás tipos —eliminación, inserción, sustitución, transposición, repetición y variación de TLD— reciben cada uno el 50 % de la ponderación. Si bien siguen siendo amenazas relevantes, estas técnicas suelen ser más fáciles de detectar para un ojo experto.
Registros DNS (35%)
La presencia de registros DNS indica que un dominio está configurado activamente y potencialmente en uso. Este atributo es de suma importancia, ya que un dominio con infraestructura de correo electrónico y web tiene muchas más probabilidades de ser utilizado en un ataque.
La puntuación DNS es la suma de las contribuciones de cada registro individual:
Un registro presente : contribuye con el 30% del peso del DNS (el dominio se resuelve en una dirección IP y puede alojar un sitio web).
Registro MX presente : contribuye con el 40% del peso del DNS (el dominio puede enviar y recibir correo electrónico, una señal crítica de riesgo de phishing).
Registro NS presente : contribuye con el 30% del peso DNS (el dominio tiene servidores de nombres asignados).
Si están presentes los tres tipos de registros, el dominio recibe la contribución completa del 35 %. Si no está presente ninguno, este atributo contribuye con un 0 %.
Estado SSL (25%)
Un certificado SSL puede indicar que alguien se ha esforzado por hacer que un dominio parezca legítimo. Los navegadores muestran un icono de candado para los sitios con certificados válidos, lo que aumenta la confianza del usuario, algo que los atacantes aprovechan.
Válido : Existe un certificado de confianza, el dominio coincide y el certificado está vigente. Peso total (100 % del 25 %).
Caducado, inválido o no confiable : el certificado existe, pero presenta problemas (caducado, dominio incorrecto, autofirmado o cadena de confianza rota). Cada uno de estos problemas recibe el 80 % de la ponderación, ya que la presencia de cualquier certificado indica una configuración deliberada.
Faltante : No se presenta ningún certificado o HTTPS no está disponible. Esto contribuye con un 0%, ya que simplemente puede indicar que el dominio no se mantiene activamente.
Ejemplos de puntuación
Ejemplo 1 — Riesgo bajo (20%)
Un dominio aparcado sin infraestructura DNS ni certificado SSL:
Estado del dominio: Estacionado → 20% × 0,5 = 10
Tipo de ataque: Repetición → 20% × 0,5 = 10
Registros DNS: Ninguno → 35% × 0 = 0
Estado SSL: Faltante → 25% × 0 = 0
Total: 20% — Riesgo bajo
Ejemplo 2 — Riesgo medio (51%)
Un dominio registrado con registros DNS parciales pero sin SSL:
Estado del dominio: Registrado → 20% × 1.0 = 20
Tipo de ataque: Repetición → 20% × 0,5 = 10
Registros DNS: A + NS presentes, MX faltante → 35% × 0.6 = 21
Estado SSL: Faltante → 25% × 0 = 0
Total: 51% — Riesgo medio
Ejemplo 3 — Alto riesgo (100%)
Un dominio registrado mediante un ataque de homógrafo con registros DNS completos y un certificado SSL válido:
Estado del dominio: Registrado → 20% × 1.0 = 20
Tipo de ataque: Homógrafo → 20% × 1.0 = 20
Registros DNS: A + MX + NS todos presentes → 35% × 1.0 = 35
Estado SSL: Válido → 25% × 1.0 = 25
Total: 100% — Alto riesgo