Lookalike-Domain

So funktioniert es

Lookalikes nutzen jeden Trick, der eine Domain als Ihre erscheinen lässt: alternative Endungen, eingefügte Bindestriche oder Wörter, vertauschte Zeichen oder Subdomains, die Ihre Brand verschleiern, etwa „ihrebrand.login-secure.com“. Einmal registriert, hosten sie Phishing, Fake-Shops oder gefälschte E-Mails.

Bezug zur Brand-Impersonation

Die Lookalike-Domain ist der häufigste Baustein der Brand-Impersonation. Neue bereits bei der Registrierung zu erkennen, ist der früheste mögliche Eingriffspunkt, bevor ein Opfer erreicht wird.

So hilft nebty

nebty entdeckt kontinuierlich Lookalike-Domains, die auf Ihre Brand zielen, bewertet sie nach Risiko und lässt Sie die gefährlichen in einen Takedown auf Abruf überführen, den Sie nur bei Erfolg bezahlen.

Die Trickkategorien, die Sie kennen sollten

Lookalike ist ein Oberbegriff, und die darunterliegenden Familien lohnt es zu kennen, weil jede eine andere Erkennungsregel braucht. Es gibt Tippfehler (ein verrutschter oder doppelter Buchstabe), Kombinationen (Ihre Brand plus ein Wort wie login oder pay), Homoglyphen (fremde Zeichen, die identisch aussehen) und alternative Endungen (Ihre Brand auf .net, .shop oder einem Ländercode, den Sie nicht besitzen). Eine raffiniertere Familie versteckt Ihre Brand in einer Subdomain, sodass ihrebrand.account-verify.com auf den ersten Blick richtig wirkt, obwohl der echte Inhaber account-verify.com ist. Keine einzelne Regel fängt all das, weshalb wirksames Monitoring jede Variantenfamilie getrennt erzeugt und die Ergebnisse dann bewertet, sodass die gefährlichen, einsatzbereiten Lookalikes über den geparkten oder harmlosen stehen.

Priorisieren Sie nach Einsatzbereitschaft, nicht nur nach Ähnlichkeit, denn ein Lookalike mit aktivem Hosting, Zertifikat und Mail-Einträgen ist eine Kampagne in Wartestellung, während ein geparkter meist warten kann.

Ein konkretes Beispiel

Ein Monitoring-Durchlauf rund um die Brand Solara Finance findet in einer Woche vier neue Domains: solarafinance.shop, solara-finanse.com, solara-finance-login.com und solarafinance.de. Drei sind geparkt und bekommen eine Beobachtungsmarkierung. Eine, solara-finance-login.com, hat bereits aktives Hosting, ein frisches TLS-Zertifikat und Mail-Einträge. Diese Kombination heißt: Jemand will sie gleich einsetzen. Sie geht direkt in den Takedown, und die Phishing-Kampagne, für die sie gebaut wurde, startet nie.

Erkennen & Abwehren

1. Beobachten Sie neue Domain-Registrierungen und Certificate-Transparency-Logs auf Namen nahe an Ihrem. Beides ist öffentlich und erkennt die meisten Lookalikes am ersten Tag.
2. Bewerten Sie Funde nach Einsatzbereitschaft, nicht allein nach Ähnlichkeit. Aktives Hosting, Zertifikat und Mail-Einträge kennzeichnen einen Lookalike, der gleich benutzt wird.
3. Eskalieren Sie die einsatzbereiten in einen Takedown, bevor die Kampagne startet. Einen geparkten Lookalike kann man beobachten; einen scharfen nicht.

Häufige Fragen