Dominios falsos e typosquatting: como proteger a marca da sua empresa contra sites clonados

O que é typosquatting e por que empresas brasileiras viraram alvo preferencial

Typosquatting é o registro deliberado de domínios muito parecidos com o de uma marca legítima, explorando erros de digitação, letras trocadas, acentos ausentes ou extensões alternativas. Se a sua empresa usa suaempresa.com.br, o golpista registra suaempreza.com.br, suaempresa-suporte.com, sua-empresa.com.br ou suaempresa.net. O domínio é barato, o registro leva minutos e não exige comprovação de vínculo com a marca. Em poucas horas o atacante tem um site visualmente idêntico ao seu, hospedado atrás de um CDN gratuito e com certificado SSL válido — o cadeado verde no navegador não prova legitimidade, apenas que a conexão está criptografada.

O que torna o problema grave para o mercado B2B brasileiro é que o alvo do golpe raramente é a empresa dona da marca: são os clientes dela. O criminoso não precisa invadir a sua rede, o seu servidor ou o seu e-mail corporativo. Ele constrói uma fachada convincente, dispara mensagens em nome da sua empresa e coleta dados, boletos pagos indevidamente ou credenciais de acesso. Quando o cliente descobre a fraude, a percepção imediata é de que "a empresa foi hackeada" — mesmo que nenhum sistema seu tenha sido tocado. O dano é reputacional antes de ser financeiro.

Existe ainda uma variação mais silenciosa e mais perigosa: o combosquatting, em que o atacante mantém o nome da marca intacto e apenas acrescenta palavras plausíveis — marcasuporte.com, marca-financeiro.com.br, portalmarca.com. Como o nome está grafado corretamente, o cliente não percebe nada de estranho, e ferramentas simples de comparação de strings não sinalizam o domínio. Esse é o padrão mais usado em fraudes de boleto e em phishing direcionado a departamentos financeiros.

Como o golpe funciona na prática, do registro ao prejuízo

A cadeia costuma seguir sempre a mesma sequência. Primeiro o atacante registra o domínio similar, quase sempre com dados de titularidade falsos ou com serviço de privacidade de WHOIS. Em seguida, aponta o domínio para uma hospedagem barata ou para um serviço de proxy reverso, emite um certificado SSL gratuito e clona a página inicial do site legítimo — muitas vezes com um simples download recursivo do HTML, mantendo logotipos, textos e até o telefone real da empresa para aumentar a credibilidade.

A monetização vem depois, em três formatos principais. O primeiro é o phishing clássico: um formulário de login ou de "atualização cadastral" que captura credenciais. O segundo é a fraude de pagamento, em que o site falso publica dados bancários diferentes ou dispara boletos com código de barras adulterado em nome da empresa. O terceiro é o abuso de e-mail: com o domínio parecido em mãos, o atacante configura contas como financeiro@ ou comercial@ e passa a responder threads de negociação reais, num ataque conhecido como comprometimento de e-mail corporativo. Como o domínio é de propriedade dele, o e-mail passa por SPF e DKIM sem nenhum alerta técnico — está tecnicamente autenticado, só que autenticado para o domínio errado.

A defesa mais eficaz contra domínio falso não é técnica, é temporal. Um clone detectado em 24 horas normalmente não gera prejuízo. Um clone que roda por três semanas já contaminou a base de clientes e produziu disputas contratuais.

Há também o cenário passivo, em que o domínio sequer hospeda conteúdo. O atacante apenas o mantém registrado, coletando tráfego de digitação errada e e-mails enviados por engano — o chamado typo-mail. Mensagens internas com anexos, propostas comerciais e dados de clientes chegam à caixa postal do criminoso sem que ninguém perceba, porque quem enviou não recebeu retorno de erro. É vazamento de informação contínuo, sem invasão e sem alarme.

Como detectar registros de domínio parecidos com o seu

A detecção começa por gerar sistematicamente as variações possíveis do seu domínio e verificar quais delas já estão registradas. Isso não é trabalho manual: ferramentas de permutação de domínio produzem centenas de variantes automaticamente, aplicando as técnicas que os atacantes usam. As classes de variação que precisam ser cobertas são:

• Omissão e repetição de caracteres — suaempesa.com.br, suaempressa.com.br;
• Troca por teclas vizinhas — syaempresa.com.br, suaemoresa.com.br;
• Homoglifos — caracteres visualmente idênticos, como o "l" minúsculo trocado por "I" maiúsculo, o zero pelo "o", ou letras cirílicas em domínios internacionalizados;
• Hífen inserido ou removido — sua-empresa.com.br;
• Extensões alternativas — .com, .net, .com.br, .app, .online, .shop;
• Combosquatting — marca + palavra genérica (suporte, portal, cliente, pagamento, nfe, boleto).

A segunda fonte de detecção — e a mais subestimada — são os registros públicos de transparência de certificados. Toda vez que alguém emite um certificado SSL para qualquer domínio, o evento é gravado em logs públicos e auditáveis. Consultar esses logs procurando pelo nome da sua marca revela clones no exato momento em que o atacante prepara o site, normalmente horas antes de o golpe começar a circular. É o sinal mais precoce disponível e o custo de monitorá-lo é praticamente zero.

Complete a varredura com monitoramento de resultados de busca e de anúncios pagos usando o nome da sua marca, verificação periódica de novos registros nas zonas .com.br e .com, e alertas para menções da marca em serviços de análise de URL, onde clones costumam aparecer submetidos por vítimas que desconfiaram. Consolide tudo num relatório recorrente: sem periodicidade definida, o monitoramento vira uma ação pontual que ninguém repete.

Derrubando o site falso: o caminho do takedown

Identificado o clone, a remoção segue uma ordem de eficácia. O primeiro passo é reunir provas: capturas de tela com data e hora, o WHOIS do domínio, o endereço IP e o provedor de hospedagem, o registrador responsável e cópia das mensagens usadas na fraude, se houver. Sem esse dossiê, qualquer notificação será devolvida por falta de elementos.

Com as provas em mãos, acione em paralelo — não em sequência — os seguintes canais:

1. Provedor de hospedagem e CDN: quase sempre a via mais rápida. O canal de abuso derruba conteúdo fraudulento em horas quando a denúncia vem documentada;
2. Registrador do domínio: pode suspender o registro por violação de termos de uso, especialmente em casos claros de phishing;
3. Registro.br, para domínios .com.br, quando houver violação de marca registrada ou uso fraudulento;
4. Listas de proteção dos navegadores: reportar a URL faz o Chrome, Edge e Firefox exibirem aviso de site perigoso, o que neutraliza boa parte do alcance mesmo antes da remoção;
5. Provedores de e-mail, se o domínio estiver sendo usado para disparo de mensagens;
6. Via jurídica: notificação extrajudicial ao titular e, em casos persistentes, procedimento de disputa de domínio ou ação com base na marca registrada no INPI.

Vale um alerta prático: takedown não é permanente. Derrubado um domínio, o mesmo grupo costuma registrar outra variação em poucos dias. Por isso o processo precisa ser cíclico — detectar, documentar, notificar, registrar no histórico e voltar a monitorar. Empresas que tratam cada incidente como caso isolado repetem o esforço do zero toda vez; empresas que mantêm o histórico identificam padrões do atacante e antecipam a próxima variação.

Prevenção estrutural: reduzir a superfície antes do ataque

Boa parte do risco pode ser eliminada preventivamente. O registro defensivo dos domínios mais óbvios — as variações com maior chance de erro de digitação e as extensões principais — custa pouco por ano e retira do mercado exatamente os endereços mais valiosos para o golpista. Não é viável registrar tudo, mas é perfeitamente viável cobrir as dez a quinze variantes de maior risco e redirecioná-las para o site oficial.

No lado do e-mail, a implementação correta de SPF, DKIM e principalmente DMARC em política restritiva impede que terceiros enviem mensagens usando o seu domínio real. Isso não bloqueia domínios parecidos — nada bloqueia — mas força o atacante a usar um endereço visivelmente diferente, o que aumenta a chance de detecção pelo destinatário e habilita os relatórios de DMARC como fonte adicional de inteligência sobre tentativas de abuso.

Complete com medidas de processo: comunicação clara aos clientes sobre quais são os domínios e canais oficiais da empresa, política interna proibindo mudança de dados bancários por e-mail sem confirmação por telefone em número previamente cadastrado, e treinamento periódico das equipes comercial e financeira — que são, invariavelmente, os alvos escolhidos. Controle técnico sem processo não sustenta a defesa; processo sem controle técnico também não.

Como a Duk apoia a proteção da sua marca digital

Monitorar registros de domínio, acompanhar logs de certificados, manter DMARC saudável e conduzir takedowns exige rotina e responsável definido — algo que raramente cabe numa equipe interna já ocupada com a operação do dia a dia. É exatamente esse tipo de disciplina operacional contínua que a Duk Informática & Cloud entrega há mais de 18 anos para os mais de 550 clientes que atende, unindo suporte de TI, segurança e infraestrutura sob um mesmo acompanhamento.

Como Microsoft Gold Partner, a Duk trabalha a proteção de marca de forma integrada ao ambiente do cliente: configuração e monitoramento de SPF, DKIM e DMARC no Microsoft 365, políticas antiphishing e de proteção de identidade, alertas sobre domínios similares e apoio na documentação e no acionamento dos canais de takedown quando um clone é identificado. Tudo com infraestrutura própria em data center em Alphaville e SLA de suporte 24/7.

Se a sua empresa nunca fez uma varredura de domínios parecidos, é razoável supor que existam registros ativos que você desconhece — a maioria das organizações descobre pelo menos um na primeira análise. Uma conversa técnica de diagnóstico já é suficiente para mapear a exposição atual e definir quais domínios registrar, o que monitorar e como reagir quando o próximo clone aparecer.